[pic] | COMMISSION DES COMMUNAUTÉS EUROPÉENNES |

Bruxelles, le 12.12.2006

COM(2006) 787 final

2006/0276 (CNS)

Proposition de

DIRECTIVE DU CONSEIL

concernant le recensement et le classement des infrastructures critiques européennes ainsi que l'évaluation de la nécessité d'améliorer leur protection

(présentée par la Commission) {SEC(2006) 1648}{SEC(2006) 1654}

EXPOSÉ DES MOTIFS

1) CONTEXTE DE LA PROPOSITION

- Motivation et objectifs de la proposition

Le Conseil européen de juin 2004 a demandé à la Commission d'élaborer une stratégie globale de protection des infrastructures critiques. La Commission a adopté, le 20 octobre 2004, une communication intitulée «Protection des infrastructures critiques dans le cadre de la lutte contre le terrorisme», dans laquelle elle a proposé des mesures en vue de renforcer la prévention, la préparation et la réponse de l'Union européenne face aux attaques terroristes contre des infrastructures critiques (IC).

Dans ses conclusions relatives à la prévention, la préparation et la réaction en cas d'attentats terroristes et dans son «Programme de solidarité de l'UE face aux conséquences des menaces et des attentats terroristes», qu'il a adopté en décembre 2004, le Conseil s'est félicité de l'intention de la Commission de proposer un programme européen de protection des infrastructures critiques (EPCIP) et a approuvé la création par celle-ci d'un réseau d'alerte concernant les infrastructures critiques (CIWIN).

En novembre 2005, la Commission a adopté un Livre vert sur un programme européen de protection des infrastructures critiques (ci-après «le livre vert sur l'EPCIP»), présentant différents scénarios pour la mise en place de ce programme et du CIWIN.

En décembre 2005, le Conseil «Justice et affaires intérieures» (JAI) a demandé à la Commission de présenter une proposition relative à l'EPCIP d'ici à juin 2006.

La présente proposition de directive expose les mesures envisagées par la Commission aux fins du recensement et du classement des infrastructures critiques européennes (ICE) ainsi que de l'évaluation de la nécessité d'améliorer leur protection.

- Contexte général

Il existe dans l'Union européenne un certain nombre d'infrastructures critiques dont l'arrêt ou la destruction affecterait plusieurs États membres. La défaillance d'une infrastructure critique dans un État membre pourrait également être préjudiciable à un autre État membre. Il y a lieu de recenser ces infrastructures critiques de dimension transnationale et de les classer comme «infrastructures critiques européennes» (ICE), ce qui suppose une procédure commune de recensement de ces infrastructures et d'évaluation de la nécessité d'améliorer leur protection.

Du fait de cette dimension transnationale, une approche intégrée au niveau européen, lors de l'examen des faiblesses et points vulnérables et lors de la détermination des failles en matière de protection, complèterait utilement et renforcerait les programmes nationaux de protection des infrastructures critiques déjà en place dans les États membres et apporterait une valeur ajoutée importante à la viabilité et au potentiel de création de richesse du marché intérieur européen.

Dans la mesure où différents secteurs possèdent une expérience, une expertise et des exigences particulières en matière de protection des infrastructures critiques (PIC), il convient d'élaborer et de mettre en œuvre une approche européenne dans ce domaine, en tenant compte des spécificités des secteurs d'infrastructures critiques et en s'appuyant sur les mesures sectorielles existantes. Il est nécessaire d'établir une liste commune des secteurs d'infrastructures critiques afin de faciliter la mise en œuvre d'une approche sectorielle de la protection des infrastructures critiques.

- La nécessité d'un cadre commun

Seul un cadre commun peut permettre une mise en œuvre cohérente et uniforme des mesures visant à renforcer la protection des infrastructures critiques européennes, ainsi qu'une définition claire des responsabilités des différents acteurs concernés. Bien que souples, des mesures librement consenties et non contraignantes n'apporteraient pas les fondements et la stabilité nécessaires, en ce qu'elles ne clarifieraient pas suffisamment les responsabilités de chacun ni les droits et obligations des acteurs concernés.

Une procédure de recensement et de classement des infrastructures critiques européennes, et une approche commune pour évaluer la nécessité d'améliorer leur protection ne peuvent être établies qu'en adoptant une directive, afin de garantir:

- des niveaux suffisants de protection des infrastructures critiques européennes;

- que tous les acteurs concernés sont soumis aux mêmes droits et obligations;

- la stabilité du marché intérieur.

Tout dommage que pourrait subir une infrastructure dans un État membre ou toute perte d'une telle infrastructure pourrait entraîner un préjudice pour plusieurs autres États membres et pour l'économie européenne dans son ensemble. La probabilité d'un tel préjudice s'accroît parce que, avec les nouvelles technologies (par exemple, l'internet) et la libéralisation des marchés (par exemple, ceux du gaz et de l'électricité), un grand nombre d'infrastructures font partie d'un réseau plus large. Dans ces conditions, les mesures de protection ne peuvent être supérieures à celles du maillon le plus faible. Un niveau de protection commun pourrait donc s'avérer nécessaire.

- Un dialogue sectoriel avec les acteurs concernés

Une protection efficace passe par la communication, la coordination et la coopération, tant au niveau national qu'au niveau de l'UE, entre tous les acteurs concernés.

Il est essentiel d'associer pleinement le secteur privé, car il possède ou exploite la plupart des infrastructures critiques. Chaque exploitant doit contrôler la gestion de ses risques, puisqu'il lui appartient en principe de décider des mesures de protection et des plans de continuité de l'exploitation qu'il entend mettre en œuvre. La planification de la continuité de l'exploitation doit respecter la logique et les processus d'entreprise normaux, et les solutions doivent dans la mesure du possible être fondées sur des arrangements commerciaux standard.

Des secteurs possèdent une expérience, une expertise et des exigences particulières en ce qui concerne la protection de leurs infrastructures critiques.

C'est pourquoi, conformément aux réponses données au livre vert sur l'EPCIP, l'approche de l'Union européenne doit pleinement associer le secteur privé, tout en tenant compte des caractéristiques sectorielles et en s'appuyant sur les mesures de protection sectorielles existantes.

- Dispositions en vigueur dans le domaine de la proposition

Il n'existe pas actuellement au niveau de l'Union de dispositions horizontales concernant la protection des infrastructures critiques. La présente directive établit une procédure de recensement et de classement des infrastructures critiques européennes ainsi qu'une approche commune pour évaluer la nécessité d'améliorer leur protection.

Il existe déjà un certain nombre de mesures sectorielles, telles que:

- Dans le secteur informatique:

- la directive «service universel» (2002/22/CE), qui porte notamment sur l'intégrité des réseaux publics de communications électroniques;

- la directive «autorisation» (2002/20/CE), qui porte notamment sur l'intégrité des réseaux publics de communications électroniques;

- la directive «vie privée et communications électroniques» (2002/58/CE), qui porte notamment sur la sécurité des réseaux publics de communications électroniques;

- la décision-cadre 2005/222/JAI du Conseil du 24 février 2005 relative aux attaques visant les systèmes d’information;

- le règlement (CE) n° 460/2004 du 10 mars 2004 instituant l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA).

- Dans le secteur médical:

- la décision n° 2119/98/CE du Parlement européen et du Conseil du 24 septembre 1998 instaurant un réseau de surveillance épidémiologique et de contrôle des maladies transmissibles dans la Communauté;

- la directive 2003/94/CE de la Commission du 8 octobre 2003 établissant les principes et lignes directrices de bonnes pratiques de fabrication concernant les médicaments à usage humain et les médicaments expérimentaux à usage humain.

- Dans le secteur financier:

- la directive 2004/39/CE du Parlement européen et du Conseil du 21 avril 2004 concernant les marchés d’instruments financiers (MiFID);

- les normes de surveillance pour les systèmes de paiement de masse en euros, adoptées en juin 2003 par le Conseil des gouverneurs de la Banque centrale européenne (BCE);

- la directive 2006/48/CE du Parlement européen et du Conseil du 14 juin 2006 concernant l'accès à l'activité des établissements de crédit et à son exercice;

- la directive 2006/49/CE du Parlement européen et du Conseil du 14 juin 2006 sur l'adéquation des fonds propres des entreprises d'investissement et des établissements de crédit;

- la proposition de directive du Parlement européen et du Conseil concernant les services de paiement dans le marché intérieur et modifiant les directives 97/7/CE, 2000/12/CE et 2002/65/CE (COM(2005) 603);

- la directive 2000/46/CE du Parlement européen et du Conseil du 18 septembre 2000 concernant l'accès à l'activité des établissements de monnaie électronique et son exercice ainsi que la surveillance prudentielle de ces établissements;

- la directive 1998/26/CE du Parlement européen et du Conseil du 19 mai 1998 concernant le caractère définitif du règlement dans les systèmes de paiement et de règlement des opérations sur titres.

- Dans le secteur des transports:

- le règlement (CE) n° 725/2004 du Parlement européen et du Conseil du 31 mars 2004 relatif à l'amélioration de la sûreté des navires et des installations portuaires;

- le règlement (CE) n° 884/2005 de la Commission du 10 juin 2005 établissant les procédures pour la conduite des inspections effectuées par la Commission dans le domaine de la sûreté maritime;

- la directive 2005/65/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à l'amélioration de la sûreté des ports;

- le règlement (CE) n° 2320/2002 du Parlement européen et du Conseil du 16 décembre 2002 relatif à l'instauration de règles communes dans le domaine de la sûreté de l'aviation civile;

- le règlement (CE) n° 622/2003 de la Commission du 4 avril 2003 fixant des mesures pour la mise en œuvre des règles communes dans le domaine de la sûreté aérienne;

- le règlement (CE) n° 1217/2003 de la Commission du 4 juillet 2003 arrêtant les spécifications communes des programmes nationaux de contrôle de la qualité en matière de sûreté de l'aviation civile;

- le règlement (CE) n° 1486/2003 de la Commission du 22 août 2003 définissant les modalités des inspections effectuées par la Commission dans le domaine de la sûreté de l'aviation civile;

- le règlement (CE) n° 68/2004 de la Commission du 15 janvier 2004 modifiant le règlement (CE) n° 622/2003 de la Commission fixant des mesures pour la mise en œuvre des règles communes dans le domaine de la sûreté aérienne;

- le règlement (CE) n° 849/2004 du Parlement européen et du Conseil du 29 avril 2004 modifiant le règlement (CE) n° 2320/2002 relatif à l'instauration de règles communes dans le domaine de la sûreté de l'aviation civile;

- le règlement (CE) n° 1138/2004 de la Commission du 21 juin 2004 établissant une définition commune des parties critiques des zones de sûreté à accès réglementé dans les aéroports;

- le règlement (CE) n° 781/2005 de la Commission du 24 mai 2005 modifiant le règlement (CE) n° 622/2003 fixant des mesures pour la mise en œuvre des règles communes dans le domaine de la sûreté aérienne;

- le règlement (CE) n° 857/2005 de la Commission du 6 juin 2005 modifiant le règlement (CE) n° 622/2003 fixant des mesures pour la mise en œuvre des règles communes dans le domaine de la sûreté aérienne;

- la directive 2001/14/CE concernant la répartition des capacités d'infrastructure ferroviaire;

- le transport de marchandises dangereuses par chemin de fer fait l'objet de la directive 96/49/CE (modifiée par la directive 2004/110/CE, adoptant le RID 2005);

- la convention sur la protection physique des matières nucléaires (signature en 1980, adhésion en 1981 et entrée en vigueur en 1987).

- Dans le secteur chimique:

- les installations dangereuses au sens de la directive «SEVESO II» (directive 96/82/CE du Conseil du 9 décembre 1996 concernant la maîtrise des dangers liés aux accidents majeurs impliquant des substances dangereuses), modifiée par la directive 2003/105/CE du Parlement européen et du Conseil du 16 décembre 2003.

- Dans le secteur nucléaire:

- la directive 89/618/Euratom du Conseil du 27 novembre 1989 concernant l'information de la population sur les mesures de protection sanitaire applicables et sur le comportement à adopter en cas d'urgence radiologique

- la décision 87/600/Euratom du Conseil du 14 décembre 1987 concernant des modalités communautaires en vue de l'échange rapide d'informations dans le cas d'une situation d'urgence radiologique

- Cohérence avec les autres politiques et les objectifs de l'Union

La présente proposition est parfaitement compatible avec les objectifs de l'Union et en particulier avec l'objectif consistant à «maintenir et [à] développer l'Union en tant qu'espace de liberté, de sécurité et de justice au sein duquel est assurée la libre circulation des personnes, en liaison avec des mesures appropriées en matière de contrôle des frontières extérieures, d'asile, d'immigration ainsi que de prévention de la criminalité et de lutte contre ce phénomène».

La présente proposition est compatible avec les autres politiques puisqu'elle ne vise pas à remplacer les mesures existantes, mais à les compléter afin d'améliorer la protection des infrastructures critiques européennes.

2) CONSULTATION DES PARTIES INTÉRESSÉES ET ANALYSE D'IMPACT

- Consultation des parties intéressées

Tous les acteurs concernés ont été consultés au sujet de l'élaboration de l'EPCIP. Cette consultation a pris les formes suivantes:

- la publication du livre vert sur l'EPCIP, adopté le 17 novembre 2005, qui prévoyait une période de consultation jusqu'au 15 janvier 2006 et auquel 22 États membres ont répondu officiellement. Quelque 100 représentants du secteur privé ont également présenté des observations en réponse à ce livre vert. Les réponses ont généralement été favorables à l'idée de la création d'un tel programme;

- l'organisation par la Commission de trois séminaires sur la protection des infrastructures critiques (respectivement en juin 2005, en septembre 2005 et en mars 2006), qui ont réuni des représentants des États membres. Des représentants du secteur privé ont été invités aux séminaires de septembre 2005 et mars 2006;

- l'organisation de réunions informelles des points de contact PIC. La Commission a accueilli deux réunions des points de contact PIC des États membres (respectivement en décembre 2005 et en février 2006);

- l'organisation de réunions informelles avec des représentants du secteur privé, dont un grand nombre avec des représentants de certaines entreprises privées ainsi qu'avec des associations professionnelles;

- sur le plan interne, au sein de la Commission, les travaux d'élaboration de l'EPCIP ont pu progresser grâce à la tenue d'une réunion régulière du sous-groupe «Protection des infrastructures critiques», du groupe interservices «Aspects internes du terrorisme».

- Obtention et utilisation d'expertise

L'expertise de spécialistes a pu être obtenue lors d'un grand nombre de réunions et de séminaires qui se sont tenus en 2004, 2005 et 2006, ainsi que dans le cadre du processus de consultation au sujet du livre vert sur l'EPCIP. La Commission a recueilli des informations auprès de tous les acteurs concernés.

- Analyse d'impact

Une copie de l'analyse d'impact de l'EPCIP est annexée à la présente proposition.

3) ÉLÉMENTS JURIDIQUES DE LA PROPOSITION

- Résumé des mesures proposées

Les mesures proposées créent un cadre horizontal aux fins du recensement et du classement des infrastructures critiques européennes ainsi qu'aux fins de l'évaluation de la nécessité d'améliorer leur protection.

- Base juridique

La base juridique de la proposition est l'article 308 du traité instituant la Communauté européenne.

- Principe de subsidiarité

Le principe de subsidiarité est satisfait puisque les objectifs des mesures envisagées par la présente proposition ne peuvent être réalisés par un seul État membre de l'Union et doivent donc être réalisés au niveau européen. Bien qu'il incombe à chaque État membre de protéger les infrastructures critiques qui se trouvent sur son territoire, il est essentiel pour la sécurité de l'Union européenne de s'assurer que les infrastructures ayant un impact sur plusieurs États membres - ou un seul, s'il s'agit d'un État membre autre que celui dans lequel l'infrastructure critique est située - sont suffisamment protégées et qu'un ou plusieurs États membres ne sont pas fragilisés par les faiblesses d'autres États membres ou leur moindre niveau de sûreté. L'application de règles similaires en matière de sûreté permettrait également de veiller à ce que la concurrence dans le marché intérieur ne soit pas faussée.

- Principe de proportionnalité

La présente proposition ne va pas au-delà de ce qui est nécessaire pour réaliser les objectifs qui la sous-tendent en matière d'amélioration de la protection des infrastructures critiques européennes. Les idées essentielles qu'elle avance consistent dans la création d'un mécanisme de coordination de base au niveau de l'Union européenne, faisant obligation aux États membres de recenser leurs infrastructures critiques, la mise en œuvre d'une série de mesures de sûreté élémentaires pour les infrastructures critiques et, enfin, le recensement et le classement des principales infrastructures critiques européennes. Cette proposition présente donc les exigences minimales qu'il convient de remplir, avant de chercher à améliorer la protection des infrastructures critiques. D'autres mesures, telles que l'adoption de lignes directrices concernant l'EPCIP, ne permettraient pas de réaliser cet objectif de manière suffisante, car elles ne garantiraient en définitive ni une amélioration des niveaux de protection dans toute l'Union ni la participation pleine et entière de tous les acteurs concernés.

- Choix des instruments

Les États membres ont à la fois des approches différentes de la protection des infrastructures critiques et des systèmes juridiques différents. Une directive constitue par conséquent le meilleur instrument pour définir une procédure commune de recensement et de classement des infrastructures critiques européennes ainsi qu'une approche commune pour évaluer la nécessité d'améliorer leur protection.

4) INCIDENCE BUDGÉTAIRE

L'incidence budgétaire est estimée dans la fiche financière ci-jointe.

Le programme «Prévention, préparation et gestion des conséquences en matière de terrorisme et d'autres risques liés à la sécurité» relatif à la période 2007-2013 contribuera à la mise en œuvre de la présente directive en protégeant les personnes contre les risques d'atteinte à leur sécurité ainsi que les ressources physiques, les services, les systèmes informatiques, les réseaux et les éléments d'infrastructure dont l'arrêt ou la destruction aurait de graves incidences sur les fonctions sociétales critiques, dans le cadre du programme général intitulé «Sécurité et protection des libertés».

Ce programme ne s'applique pas aux questions couvertes par d'autres instruments financiers, notamment le dispositif de réaction rapide en cas d'urgences majeures et le Fonds de solidarité de l'Union européenne.

5) INFORMATIONS SUPPLÉMENTAIRES

- Retrait de dispositions législatives en vigueur

Aucune disposition législative en vigueur ne doit être retirée.

- Explication détaillée de la proposition

Article 1er – Cet article présente l'objet de la directive. Celle-ci établit une procédure commune de recensement et de classement des infrastructures critiques européennes, à savoir les infrastructures dont l'arrêt ou la destruction affecterait plusieurs États membres ou un seul, s'il s'agit d'un État membre autre que celui dans lequel l'infrastructure critique est située. La directive introduit également une approche commune pour évaluer la nécessité d'améliorer la protection des infrastructures critiques européennes. Cette évaluation permettra de définir des mesures de protection propres aux différents secteurs d'infrastructures critiques.

Article 2 – Cet article définit les notions fondamentales aux fins de l'application de la directive.

Article 3 – Cet article présente la procédure de recensement des infrastructures critiques européennes (ICE), qui sont les infrastructures critiques dont l'arrêt ou la destruction pourrait avoir une incidence grave sur plusieurs États membres ou un seul, s'il s'agit d'un État membre autre que celui dans lequel l'infrastructure critique est située. Cette procédure se déroule en trois étapes. Premièrement, la Commission, ainsi que les États membres et les acteurs concernés, définissent des critères intersectoriels et sectoriels de recensement des ICE, qui sont ensuite adoptés selon la procédure de comitologie. Les critères intersectoriels sont définis en fonction de la gravité de l'arrêt ou de la destruction de l'infrastructure critique. La gravité des conséquences de l'arrêt ou de la destruction d'une infrastructure donnée doit, dans la mesure du possible, être appréciée en fonction des éléments suivants:

- incidence sur la population (nombre de personnes touchées);

- incidence économique (ampleur des pertes économiques et/ou de la dégradation de produits ou de services);

- incidence environnementale;

- incidence politique;

- incidence psychologique;

- incidence sur la santé publique.

Chaque État membre recense ensuite les infrastructures qui satisfont à ces critères. Enfin, chaque État membre notifie à la Commission les infrastructures critiques qui satisfont aux critères établis. Les actions correspondantes sont ensuite engagées dans les secteurs d'infrastructures critiques prioritaires, sélectionnés chaque année par la Commission parmi les secteurs énumérés à l'annexe I. La liste des secteurs d'infrastructures critiques figurant à l'annexe I peut être modifiée selon la procédure de comitologie, dans la mesure où cela n'élargit pas le champ d'application de la directive. Cela signifie notamment que les modifications apportées à cette liste auraient pour objet de clarifier son contenu. La Commission considère que les secteurs des transports et de l'énergie comptent parmi les priorités pour lesquelles une action immédiate s'impose.

Article 4 – Cet article présente la procédure de classement des infrastructures critiques européennes. Une fois la procédure de recensement mise en œuvre conformément à l'article 3, la Commission établit un projet de liste des infrastructures critiques européennes. Ce projet de liste est établi sur la base des notifications reçues des États membres et des autres informations pertinentes dont dispose la Commission. La liste est ensuite adoptée selon la procédure de comitologie.

Article 5 – Cet article porte sur les plans de sûreté pour les exploitants (PSE). Il fait obligation à tous les propriétaires/exploitants d'infrastructures critiques classées comme infrastructures critiques européennes d'établir un plan de sûreté répertoriant les différents éléments d'infrastructure et définissant les mesures de sûreté nécessaires à leur protection. L'annexe II indique les informations minimales que ces plans de sûreté pour les exploitants doivent contenir:

- le recensement des éléments d'infrastructure importants;

- une analyse des risques fondée sur les principaux scénarios de menace, la vulnérabilité de chaque élément d'infrastructure et les répercussions potentielles;

- l'identification, la sélection et le classement par ordre de priorité des contre-mesures et des procédures en établissant une distinction entre:

- les mesures de sûreté permanentes , qui précisent les investissements et les moyens indispensables en matière de sûreté, mais que le propriétaire/l'exploitant ne peut réaliser ou mobiliser à bref délai. Cette catégorie contiendra des informations relatives aux mesures générales, aux mesures techniques (y compris l’installation de moyens de détection, de contrôle d’accès, de protection et de prévention), aux mesures de nature organisationnelle (y compris des procédures d’alerte et de gestion de crise), aux mesures de contrôle et de vérification, à la communication, à la sensibilisation et à la formation, ainsi qu'à la sécurité des systèmes d’information; et

- les mesures de sûreté graduelles , qui sont déclenchées en fonction de différents niveaux de risque et de menace.

Chaque secteur d'infrastructures critiques peut élaborer un plan de sûreté sectoriel pour les exploitants, fondé sur les exigences minimales de l'annexe II. Un tel plan de sûreté sectoriel peut être adopté selon la procédure de comitologie.

Pour les secteurs dans lesquels ce type d'obligations existent déjà, l'article 5, paragraphe 2, prévoit la possibilité d'être exempté de l'obligation d'établir un plan de sûreté pour les exploitants, sur la base d'une décision arrêtée selon la procédure de comitologie. La conformité à la directive 2005/65/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à l'amélioration de la sûreté des ports est réputée satisfaire à l'obligation d'établir un plan de sûreté pour les exploitants.

Une fois le plan de sûreté pour les exploitants établi, chaque propriétaire/exploitant d'une infrastructure critique européenne doit le soumettre à l'autorité nationale compétente. Chaque État membre mettra en place un système de surveillance des plans de sûreté pour les exploitants, afin de veiller à ce que les propriétaires/exploitants d'infrastructures critiques européennes reçoivent un retour d'information suffisant sur la qualité de leur plan de sûreté, et notamment sur son caractère adéquat par rapport à l'évaluation des risques et des menaces.

Article 6 – Cet article porte sur les officiers de liaison pour la sûreté (OLS). Il fait obligation à tous les propriétaires/exploitants d'infrastructures critiques classées comme infrastructures critiques européennes de désigner un officier de liaison pour la sûreté, celui-ci devant servir de point de contact pour les questions de sûreté entre l'infrastructure critique européenne et les autorités nationales compétentes. Il recevrait donc des autorités nationales toutes les informations utiles en matière de protection des infrastructures critiques et serait chargé de leur transmettre toutes les informations utiles sur l'infrastructure critique européenne concernée.

Article 7 – Cet article concerne les rapports. Il introduit une série de mesures en matière d'établissement de rapports. Chaque État membre est tenu de réaliser une évaluation des risques et des menaces pesant sur les infrastructures critiques européennes situées sur son territoire. Ces informations constituent la base du dialogue sur les questions de sûreté (surveillance) entre chaque État membre et ses infrastructures critiques européennes, ainsi que l'indique l'article 5. Dans la mesure où l'article 5 exige des propriétaires/exploitants d'infrastructures critiques européennes qu'ils établissent un plan de sûreté pour les exploitants et qu'ils le présentent aux autorités nationales, il est demandé à chaque État membre de récapituler les types de points vulnérables, de menaces et de risques rencontrés dans chaque secteur d'infrastructures critiques et de transmettre ces informations à la Commission. Ces dernières constitueront la base de l'appréciation de la Commission quant au besoin de prendre des mesures de protection supplémentaires. Ces informations pourraient ensuite servir à la réalisation d'analyses d'impact destinées à accompagner de futures propositions dans ce domaine.

Cet article prévoit aussi l'adoption de méthodes communes aux fins de l'évaluation des risques, des menaces et des points vulnérables touchant les infrastructures critiques européennes. Ces méthodes communes seraient adoptées selon la procédure de comitologie.

Article 8 – Cet article concerne le soutien apporté par la Commission dans le domaine de la protection des infrastructures critiques européennes. La Commission soutiendra les propriétaires/exploitants de ces infrastructures en leur donnant accès aux meilleures pratiques et méthodes en matière de protection des infrastructures critiques. La Commission se chargera de recueillir ces informations auprès de différentes sources (par exemple, les États membres, sources internes) et de les communiquer aux intéressés.

Article 9 – Cet article porte sur les points de contact pour la protection des infrastructures critiques (PIC). Afin d'assurer une coordination des questions liées à protection des infrastructures critiques ainsi qu'une coopération dans ce domaine, chaque État membre est tenu de désigner un point de contact PIC. Ce dernier coordonne les questions liées à la protection des infrastructures critiques tant à l'intérieur de l'État membre qu'avec les autres États membres et la Commission.

Article 10 – Cet article a pour objet la confidentialité et l'échange des informations relatives à la protection des infrastructures critiques, un élément essentiel et sensible de l'action dans le domaine de la protection de ces infrastructures. Par conséquent, la directive exige de la Commission et des États membres qu'ils prennent les mesures appropriées pour protéger ces informations. Toute personne traitant des informations classifiées relatives à la protection des infrastructures critiques doit être soumise à une procédure d'habilitation adéquate par les autorités de l'État membre concerné.

Article 11 – Cet article concerne le comité. Certains éléments de la directive seront mis en œuvre selon la procédure de comitologie. Le comité sera composé des représentants des points de contact PIC. Cette procédure consultative sera utilisée aux fins de l'application de l'article 5, paragraphe 2, visant à exempter certains secteurs de l'obligation d'établir un plan de sûreté pour les exploitants.

La procédure de réglementation est prévue dans les cas suivants:

- article 3, paragraphe 1: l'adoption de critères intersectoriels et sectoriels pour le recensement des infrastructures critiques européennes;

- article 3, paragraphe 2: la modification de la liste des secteurs d'infrastructures critiques figurant à l'annexe I;

- article 4, paragraphe 2: l'adoption du projet de liste des infrastructures critiques européennes;

- article 5, paragraphe 2: la définition des exigences sectorielles en ce qui concerne les plans de sûreté pour les exploitants;

- article 7, paragraphe 2: l'établissement d'un modèle commun de rapport général sur les risques, les menaces et les points vulnérables recensés;

- article 7, paragraphe 4: la définition de méthodes communes pour évaluer les risques, les menaces et les points vulnérables.

2006/0276 (CNS)

Proposition de

DIRECTIVE DU CONSEIL

concernant le recensement et le classement des infrastructures critiques européennes ainsi que l'évaluation de la nécessité d'améliorer leur protection (Texte présentant de l'intérêt pour l'EEE)

LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité instituant la Communauté européenne, et notamment son article 308,

vu le traité instituant la Communauté européenne de l'énergie atomique, et notamment son article 203,

vu la proposition de la Commission[1],

vu l'avis du Parlement européen[2],

vu l'avis de la Banque centrale européenne[3],

considérant ce qui suit:

(1) En juin 2004, le Conseil européen a demandé qu'une stratégie globale de protection des infrastructures critiques soit élaborée[4]. En réponse, la Commission a adopté, le 20 octobre 2004, une communication intitulée «Protection des infrastructures critiques dans le cadre de la lutte contre le terrorisme»[5], dans laquelle elle a proposé des mesures en vue de renforcer la prévention, la préparation et la réponse de l'Union européenne face aux attaques terroristes contre des infrastructures critiques.

(2) Le 17 novembre 2005, la Commission a adopté un Livre vert sur un programme européen de protection des infrastructures critiques (EPCIP)[6], présentant différents scénarios pour la mise en place de ce programme et du réseau d'alerte concernant les infrastructures critiques (CIWIN). Les réponses à ce livre vert ont clairement fait ressortir le besoin d'établir un cadre communautaire en matière de protection des infrastructures critiques. La nécessité de renforcer la capacité de protection des infrastructures critiques en Europe et de réduire les points vulnérables de ces infrastructures a été reconnue. L'importance du principe de subsidiarité et du dialogue avec les acteurs concernés a été soulignée.

(3) En décembre 2005, le Conseil «Justice et affaires intérieures» a demandé à la Commission de présenter une proposition de programme européen de protection des infrastructures critiques (EPCIP) et a décidé que ce programme devait être fondé sur une approche tous risques conjuguée avec la priorité donnée au risque terroriste. Cette approche tient compte des risques d'origine humaine, des menaces technologiques et des catastrophes naturelles dans le processus de protection des infrastructures critiques, mais donne la priorité à la menace terroriste. Lorsque le niveau des mesures de protection contre une menace de premier ordre est réputé suffisant dans un secteur d'infrastructures critiques, les acteurs concernés doivent concentrer leurs efforts sur d'autres menaces qui peuvent toujours les atteindre.

(4) Actuellement, la responsabilité de la protection des infrastructures critiques incombe en premier lieu aux États membres et aux propriétaires/exploitants de ces infrastructures. Cela ne doit pas changer.

(5) Il existe un certain nombre d'infrastructures critiques dans la Communauté dont l'arrêt ou la destruction affecterait plusieurs États membres ou un État membre autre que celui dans lequel l'infrastructure critique est située. Il pourrait s'agir d'effets intersectoriels transfrontaliers résultant des liens de dépendance entre infrastructures interconnectées. Il convient de recenser ces infrastructures critiques européennes et de les classer comme telles selon une procédure commune. La nécessité d'améliorer la protection de ces infrastructures critiques doit être évaluée dans un cadre commun. Les programmes bilatéraux de coopération entre États membres dans le domaine de la protection des infrastructures critiques constituent un moyen bien établi et efficace de protéger les infrastructures critiques transfrontalières. L'EPCIP doit s'appuyer sur cette forme de coopération.

(6) Dans la mesure où différents secteurs possèdent une expérience, une expertise et des exigences particulières en matière de protection des infrastructures critiques, il convient d'élaborer et de mettre en œuvre une approche communautaire dans ce domaine, en tenant compte des spécificités sectorielles et des mesures sectorielles existantes, notamment celles en vigueur au niveau communautaire, national ou régional, y compris où il existe déjà des accords transfrontaliers d'assistance mutuelle entre propriétaires/exploitants d'infrastructures critiques. Compte tenu du rôle très important joué par le secteur privé dans la surveillance et la gestion des risques, la planification de la continuité de l'exploitation et le redressement après une catastrophe, l'approche communautaire devra encourager une participation pleine et entière de ce secteur. Il est nécessaire d'établir une liste commune des secteurs d'infrastructures critiques pour faciliter la mise en œuvre d'une approche sectorielle de la protection des infrastructures critiques.

(7) Chaque propriétaire/exploitant d'une infrastructure critique européenne est tenu d'établir un plan de sûreté pour les exploitants, recensant les différents éléments de cette infrastructure et définissant les mesures de sûreté nécessaires à leur protection. Ce plan de sûreté pour les exploitants doit tenir compte de l'évaluation des points vulnérables, des menaces et des risques, ainsi que des autres informations utiles communiquées par les autorités nationales.

(8) Chaque propriétaire/exploitant d'une infrastructure critique européenne est tenu de désigner un officier de liaison pour la sûreté, afin de faciliter la coopération et la communication avec les autorités nationales compétentes en matière de protection des infrastructures critiques.

(9) Une détermination efficace des risques, des menaces et des points vulnérables dans les différents secteurs exige une communication à la fois entre les propriétaires/exploitants d'infrastructures critiques européennes et les États membres, et entre les États membres et la Commission. Chaque État membre doit recueillir des informations sur les infrastructures critiques européennes qui se trouvent sur son territoire. La Commission doit recevoir des informations générales des États membres au sujet des points vulnérables, des menaces et des risques, y compris toute information pertinente sur les éventuelles failles en matière de sûreté et les éventuels liens de dépendance intersectoriels, ce qui doit - le cas échéant - servir de base à l'élaboration de propositions spécifiques en vue de l'amélioration de la protection des infrastructures critiques européennes.

(10) Afin de faciliter l'amélioration de la protection des infrastructures critiques européennes, il convient de définir des méthodes communes de recensement et de classement des points vulnérables, des menaces et des risques touchant les éléments d'infrastructure.

(11) Seul un cadre commun peut fournir la base nécessaire à une mise en œuvre cohérente des mesures de protection des infrastructures critiques européennes et permettre de définir clairement les responsabilités respectives de tous les acteurs concernés. Il y a lieu de donner aux propriétaires/exploitants d'infrastructures critiques européennes accès aux meilleures pratiques et méthodes en matière de protection des infrastructures critiques.

(12) Or, une protection efficace des infrastructures critiques exige une communication, une coordination et une coopération tant au niveau national qu'au niveau communautaire. Le meilleur moyen d'y parvenir consiste à désigner dans chaque État membre un point de contact pour la protection des infrastructures critiques (PIC), chargé de coordonner les questions liées à la protection de ces infrastructures au niveau national, ainsi qu'avec les autres États membres et la Commission.

(13) Afin de développer les mesures de protection des infrastructures critiques dans les domaines qui requièrent un certain degré de confidentialité, il convient de veiller à ce qu'un échange d'informations cohérent et sûr s'effectue dans le cadre de la présente directive. Certaines informations relatives à la protection des infrastructures critiques sont de telle nature que leur divulgation porterait atteinte à la protection de l'intérêt public dans le domaine de la sécurité. Certaines informations factuelles sur un élément d'infrastructure critique qui pourraient être utilisées pour planifier et mettre en œuvre des actions visant à entraîner des conséquences inacceptables pour les installations concernées doivent être classifiées et communiquées selon le principe du «besoin d'en connaître», tant au niveau communautaire qu'au niveau national.

(14) Le partage des informations sur les infrastructures critiques doit s'effectuer dans un climat de confiance et de sécurité. Les entreprises et organisations doivent en effet avoir confiance dans le fait que leurs données sensibles seront suffisamment protégées. Pour favoriser le partage de ces informations, il convient de sensibiliser les entreprises au fait que les avantages qui en découlent l'emportent sur les coûts supportés par les entreprises et la société en général. L'échange des informations sur la protection des infrastructures critiques doit donc être encouragé.

(15) La présente directive complète les mesures sectorielles existant au niveau communautaire et dans les États membres. Dans les cas où des mécanismes communautaires sont déjà en place, ils doivent continuer d'être utilisés et ainsi contribuer à la mise en œuvre globale de la présente directive.

(16) Il y a lieu d'arrêter les mesures nécessaires pour la mise en œuvre de la présente directive en conformité avec la décision 1999/468/CE du Conseil du 28 juin 1999 fixant les modalités de l'exercice des compétences d'exécution conférées à la Commission[7].

(17) Étant donné que les objectifs de la présente directive, à savoir l'instauration d'une procédure de recensement et de classement des infrastructures critiques européennes et la définition d'une approche commune pour évaluer la nécessité d'améliorer la protection de ces infrastructures, ne peuvent pas être réalisés de manière suffisante par les États membres et peuvent donc, en raison des dimensions de l'action, être mieux réalisés au niveau communautaire, la Communauté peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité. Conformément au principe de proportionnalité tel qu'énoncé audit article, la présente directive n'excède pas ce qui est nécessaire pour atteindre ces objectifs.

(18) La présente directive respecte les droits fondamentaux et observe les principes reconnus, en particulier, par la Charte des droits fondamentaux de l'Union européenne,

A ARRÊTÉ LA PRÉSENTE DIRECTIVE:

Article premier Objet

La présente directive établit une procédure de recensement et de classement des infrastructures critiques européennes ainsi qu'une approche commune pour évaluer la nécessité d'améliorer leur protection.

Article 2 Définitions

Aux fins de la présente directive, on entend par:

a) «infrastructures critiques»: les actifs ou éléments d'actif qui sont indispensables au maintien des fonctions sociétales critiques, notamment la chaîne d'approvisionnement, la santé, la sécurité et le bien-être économique ou social des citoyens;

b) «infrastructures critiques européennes»: les infrastructures critiques dont l'arrêt ou la destruction affecterait sensiblement plusieurs États membres ou un seul, s'il s'agit d'un État membre autre que celui dans lequel l'infrastructure critique est située. Cela inclut les effets découlant de liens de dépendance intersectoriels sur d'autres types d'infrastructures;

c) «gravité»: l'impact de l'arrêt ou de la destruction d'une infrastructure donnée, en fonction des critères suivants:

- incidence sur la population (nombre de personnes touchées),

- incidence économique (ampleur des pertes économiques et/ou de la dégradation de produits ou de services),

- incidence environnementale,

- incidence politique,

- incidence psychologique,

- incidence sur la santé publique;

d) «point vulnérable»: la caractéristique d'un élément de la conception, de la mise en œuvre ou du fonctionnement d'une infrastructure critique qui expose celle-ci à une menace d'arrêt ou de destruction et inclut les liens de dépendance avec d'autres types d'infrastructures;

e) «menace»: toute information, toute circonstance ou tout événement pouvant potentiellement provoquer l'arrêt ou la destruction d'une infrastructure critique, ou d'un élément d'une telle infrastructure;

f) «risque»: l'éventualité de pertes et de dommages matériels ou corporels en fonction, d'une part, de la valeur attribuée à l'élément d'infrastructure par son propriétaire ou son exploitant et des répercussions que la perte ou l'altération de cet élément pourrait engendrer et, d'autre part, de la probabilité qu'un point vulnérable particulier soit exploité pour une menace donnée;

g) «informations sur la protection des infrastructures critiques»: les informations factuelles sur un élément d'infrastructure critique qui sont indispensables pour pouvoir planifier et mettre en œuvre, de manière efficace, des actions visant à provoquer une défaillance des installations concernées ou à entraîner des conséquences inacceptables pour celles-ci.

Article 3 Recensement des infrastructures critiques européennes

1. Les critères intersectoriels et sectoriels à appliquer pour recenser les infrastructures critiques européennes sont adoptés conformément à la procédure visée à l'article 11, paragraphe 3. Ils peuvent être modifiés conformément à ladite procédure.

Les critères intersectoriels s'appliquant horizontalement à tous les secteurs d'infrastructures critiques sont définis en fonction de la gravité de l'incidence de l'arrêt ou de la destruction d'une infrastructure donnée. Ils sont adoptés au plus tard le [ soit un an après l'entrée en vigueur de la présente directive ].

Les critères sectoriels sont définis pour les secteurs prioritaires en tenant compte des caractéristiques des différents secteurs d'infrastructures critiques et en associant, le cas échéant, les acteurs concernés. Ils sont adoptés pour chaque secteur prioritaire au plus tard un an après le classement comme secteur prioritaire.

2. Les secteurs prioritaires à retenir pour définir les critères prévus au paragraphe 1 sont sélectionnés chaque année par la Commission parmi les secteurs énumérés à l'annexe I.

L'annexe I peut être modifiée conformément à la procédure visée à l'article 11, paragraphe 3, dans la mesure où cette modification n'élargit pas le champ d'application de la présente directive.

3. Chaque État membre recense les infrastructures critiques situées sur son territoire ainsi que celles qui se trouvent en dehors de son territoire mais qui peuvent avoir un impact sur lui, selon les critères adoptés conformément aux paragraphes 1 et 2.

Chaque État membre notifie à la Commission les infrastructures critiques ainsi recensées, au plus tard un an après l'adoption des critères applicables et ensuite d'une manière régulière.

Article 4 Classement des infrastructures critiques européennes

1. Sur la base des notifications effectuées conformément à l'article 3, paragraphe 3, deuxième alinéa, et de toute autre information à sa disposition, la Commission propose une liste des infrastructures critiques à classer comme infrastructures critiques européennes.

2. La liste des infrastructures critiques classées comme infrastructures critiques européennes est adoptée conformément à la procédure visée à l'article 11, paragraphe 3.

Cette liste peut être modifiée conformément à la procédure visée à l'article 11, paragraphe 3.

Article 5 Plan de sûreté pour les exploitants

1. Chaque État membre fait obligation au propriétaire ou exploitant de chaque infrastructure critique européenne située sur son territoire d'établir un plan de sûreté et de le réexaminer au moins tous les deux ans pour l'actualiser.

2. Ce plan de sûreté pour les exploitants recense les différents éléments de l'infrastructure critique européenne et définit les mesures de sûreté nécessaires à leur protection conformément à l'annexe II. Des exigences sectorielles tenant compte des mesures communautaires existantes peuvent être adoptées conformément à la procédure visée à l'article 11, paragraphe 3.

Statuant conformément à la procédure visée à l'article 11, paragraphe 2, la Commission peut considérer que le respect des mesures applicables à certains secteurs énumérés à l'annexe I satisfait à l'obligation d'établir un plan de sûreté pour les exploitants et de l'actualiser.

3. Le propriétaire ou exploitant d'une infrastructure critique européenne soumet son plan de sûreté à l'autorité nationale compétente dans un délai d'un an à compter du classement de l'infrastructure critique comme infrastructure critique européenne.

Lorsque des exigences sectorielles concernant le plan de sûreté pour les exploitants sont adoptées sur la base du paragraphe 2, le plan de sûreté n'est présenté à l'autorité nationale compétente que dans un délai d'un an à compter de l'adoption de ces exigences.

4. Chaque État membre met en place un système assurant une surveillance suffisante et régulière des plans de sûreté pour les exploitants et de leur mise en œuvre, sur la base de l'évaluation des risques et des menaces réalisée conformément à l'article 7, paragraphe 1.

5. La conformité à la directive 2005/65/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à l'amélioration de la sûreté des ports satisfait à l'obligation d'établir un plan de sûreté pour les exploitants.

Article 6 Officiers de liaison pour la sûreté

1. Chaque État membre fait obligation au propriétaire ou exploitant de chaque infrastructure critique européenne située sur son territoire de désigner un officier de liaison pour la sûreté, en tant que point de contact pour les questions liées à la sûreté entre le propriétaire ou l'exploitant de l'infrastructure et les autorités de cet État membre chargées de la protection des infrastructures critiques. L'officier de liaison pour la sûreté est désigné dans un délai d'un an à compter du classement de l'infrastructure critique comme infrastructure critique européenne.

2. Chaque État membre communique les informations utiles concernant les menaces et les risques identifiés, à l'officier de liaison pour la sûreté de l'infrastructure critique européenne concernée.

Article 7 Rapports

1. Chaque État membre réalise une évaluation des risques et des menaces pesant sur les infrastructures critiques européennes situées sur son territoire, dans un délai d'un an à compter du classement de l'infrastructure critique comme infrastructure critique européenne.

2. Chaque État membre présente à la Commission un rapport général sur les types de points vulnérables, de menaces et de risques rencontrés dans chacun des secteurs visés à l'annexe I, dans un délai de 18 mois à compter de l'adoption de la liste prévue à l'article 4, paragraphe 2, et ensuite tous les deux ans.

Un modèle commun de rapport peut être adopté conformément à la procédure visée à l’article 11, paragraphe 3.

3. La Commission apprécie secteur par secteur s'il y a lieu de prendre des mesures de protection spécifiques pour les infrastructures critiques européennes.

4. Une méthode commune d'évaluation des points vulnérables, des menaces et des risques touchant les infrastructures critiques européennes peut être adoptée par secteur, conformément à la procédure visée à l'article 11, paragraphe 3.

Article 8 Soutien de la Commission en matière de protection des infrastructures critiques européennes

La Commission soutient les propriétaires ou exploitants d'infrastructures critiques classées comme infrastructures critiques européennes en leur donnant accès aux meilleures pratiques et méthodes existant en matière de protection des infrastructures critiques.

Article 9 Points de contact pour la protection des infrastructures critiques

1. Chaque État membre désigne un point de contact pour la protection des infrastructures critiques.

2. Ce point de contact coordonne les questions liées à la protection des infrastructures critiques tant à l'intérieur de l'État membre qu'avec les autres États membres et la Commission.

Article 10 Confidentialité et échange des informations relatives à la protection des infrastructures critiques

1. Dans l'application de la présente directive, la Commission prend, conformément à la décision 2001/844/CE, CECA, Euratom, les mesures appropriées pour protéger les informations soumises à l'obligation de confidentialité auxquelles elle a accès ou qui lui sont communiquées par les États membres. Les États membres prennent des mesures équivalentes dans le respect des législations nationales applicables. Il est dûment tenu compte de la gravité du préjudice potentiel pouvant être causé aux intérêts essentiels de la Communauté ou d'un ou plusieurs de ses États membres.

2. Toute personne traitant des informations confidentielles en application de la présente directive pour le compte d'un État membre est soumise à une procédure d'habilitation adéquate par l'État membre concerné.

3. Les États membres veillent à ce que les informations relatives à la protection des infrastructures critiques communiquées à d'autres États membres ou à la Commission ne sont pas utilisées à d'autres fins que la protection de ces infrastructures.

Article 11 Comité

1. La Commission est assistée par un comité composé des représentants des points de contact pour la protection des infrastructures critiques, à raison d'un représentant par point de contact.

2. Dans le cas où il est fait référence au présent paragraphe, les articles 3 et 7 de la décision 1999/468/CE s'appliquent, dans le respect des dispositions de l'article 8 de celle-ci.

3. Dans le cas où il est fait référence au présent paragraphe, les articles 5 et 7 de la décision 1999/468/CE s'appliquent, dans le respect des dispositions de l'article 8 de celle-ci.

La période prévue à l'article 5, paragraphe 6, de la décision 1999/468/CE est fixée à un mois.

4. Le comité adopte son règlement intérieur.

Article 12 Mise en œuvre

1. Les États membres mettent en vigueur les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive au plus tard le 31 décembre 2007. Ils communiquent immédiatement à la Commission le texte de ces dispositions ainsi qu'un tableau de correspondance entre ces dispositions et la présente directive.

Lorsque les États membres adoptent ces dispositions, celles-ci contiennent une référence à la présente directive ou sont accompagnées d'une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.

2. Les États membres communiquent à la Commission le texte des dispositions essentielles de droit interne qu'ils adoptent dans le domaine couvert par la présente directive.

Article 13 Entrée en vigueur

La présente directive entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne .

Article 14 Destinataires

Les États membres sont destinataires de la présente directive.

Fait à Bruxelles, le

Par le Conseil

Le président

ANNEXE I

Liste des secteurs d'infrastructures critiques

Secteurs | Sous-secteurs |

I Énergie | 1 Production pétrolière et gazière, raffinage, traitement, stockage et distribution par oléoducs et gazoducs 2 Production et transport d'électricité |

II Industrie nucléaire | 3 Production et stockage/traitement de substances nucléaires |

III Technologies de l'information et des communications (TIC) | 4 Protection des systèmes d’information et des réseaux 5 Systèmes d’instrumentation, d’automatisation et de contrôle (SCADA, etc.) 6 Internet 7 Fourniture de services de télécommunications fixes 8 Fourniture de services de télécommunications mobiles 9 Radiocommunication et radionavigation 10 Communications par satellite 11 Radiodiffusion |

IV Eau | 12 Fourniture d’eau potable 13 Contrôle de la qualité de l’eau 14 Systèmes de digues et contrôle quantitatif des eaux |

V Alimentation | 15 Fourniture de vivres et sécurité alimentaire |

VI Santé | 16 Soins médicaux et hospitaliers 17 Médicaments, sérums, vaccins et produits pharmaceutiques 18 Laboratoires de biologie et agents biologiques |

VII Finance | 19 Systèmes de paiement, de compensation et de règlement des opérations sur titres 20 Marchés réglementés |

VIII Transports | 21 Transports par route 22 Transport ferroviaire 23 Transport aérien 24 Navigation intérieure 25 Transport hauturier et transport maritime à courte distance (cabotage) |

IX Industrie chimique | 26 Production et stockage/traitement de substances chimiques 27 Transport de substances dangereuses (chimiques) par pipelines |

X Espace | 28 Espace |

XI Installations de recherche | 29 Installations de recherche |

ANNEXE II

Plan de sûreté pour les exploitants (PSE)

Le PSE recense les différents éléments de l'infrastructure critique et établit les mesures de sûreté nécessaires à leur protection. Le PSE comprendra au moins:

- le recensement des éléments d'infrastructure importants;

- une analyse des risques fondée sur les principaux scénarios de menace, la vulnérabilité de chaque élément d'infrastructure et les répercussions potentielles;

- l'identification, la sélection et le classement par ordre de priorité des contre-mesures et des procédures en établissant une distinction entre:

- les mesures de sûreté permanentes , qui précisent les investissements et les moyens nécessaires en matière de sûreté, mais que le propriétaire/l'exploitant ne peut réaliser ou mobiliser à bref délai. Cette catégorie contiendra des informations relatives aux mesures générales, aux mesures techniques (y compris l’installation de moyens de détection, de contrôle d’accès, de protection et de prévention), aux mesures de nature organisationnelle (y compris des procédures d’alerte et de gestion de crise), aux mesures de contrôle et de vérification, à la communication, à la sensibilisation et à la formation, ainsi qu'à la sécurité des systèmes d’information;

- les mesures de sûreté graduelles , qui sont déclenchées en fonction de différents niveaux de risque et de menace.

FICHE FINANCIÈRE LÉGISLATIVE

Domaine(s) politique(s): Justice et affaires intérieures Activité: Protection des infrastructures critiques |

INTITULÉ DE L'ACTION: Directive du Conseil concernant le recensement et le classement des infrastructures critiques européennes ainsi que l'évaluation de la nécessité d'améliorer leur protection |

1. LIGNE(S) BUDGÉTAIRE(S) + INTITULÉ(S)

Sans objet

2. DONNÉES CHIFFRÉES GLOBALES

2.1. Enveloppe totale de l'action (partie B): millions d'euros en CE

Sans objet

2.2. Période d'application

Lancement en 2006

2.3. Estimation globale pluriannuelle des dépenses

a) Échéancier crédits d'engagement/crédits de paiement (intervention financière) ( cf. point 6.1.1 )

Millions d'euros (à la 3e décimale)

[2006] | [2007] | [2008] | [2009] | [2010] | [2011] | Total |

Engagements | - | - | - | - | - | - | - |

Paiements | - | - | - | - | - | - | - |

b) Assistance technique et administrative (ATA) et dépenses d'appui (DDA) ( voir point 6.1.2 )

Engagements | - | - | - | - | - | - | - |

Paiements | - | - | - | - | - | - | - |

Sous-total a+b | - | - | - | - | - | - | - |

Engagements | - | - | - | - | - | - | - |

Paiements | - | - | - | - | - | - | - |

c) Incidence financière globale des ressources humaines et autres dépenses de fonctionnement ( cf. points 7.2 et 7.3 )

Engagements/paiements | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 |

TOTAL a+b+c | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 |

Engagements | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 |

Paiements | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 | 1 280 000 |

2.4. Compatibilité avec la programmation financière et les perspectives financières

La directive est compatible avec le programme «Prévention, préparation et gestion des conséquences en matière de terrorisme et d'autres risques liés à la sécurité» relatif à la période 2007-2013.

2.5. Incidence financière sur les recettes

Le programme «Prévention, préparation et gestion des conséquences en matière de terrorisme et d'autres risques liés à la sécurité» relatif à la période 2007-2013 (137,5 millions d'euros), qui a récemment été adopté, contribuera à la mise en œuvre de l'EPCIP en protégeant les personnes contre les risques d'atteinte à leur sécurité ainsi que les ressources physiques, les services, les systèmes informatiques, les réseaux et les éléments d'infrastructure dont l'arrêt ou la destruction aurait de graves incidences sur les fonctions sociétales critiques, dans le cadre du programme général intitulé «Sécurité et protection des libertés». Le champ d'application de ce programme est limité en ce qu'il n'englobe pas les investissements liés au matériel ou aux équipements. Ce programme ne s'applique pas aux questions couvertes par d'autres instruments financiers, notamment le dispositif de réaction rapide en cas d'urgences majeures.

Pour ce qui est de la prévention et de la préparation, le programme vise à:

a) encourager, promouvoir et soutenir l'évaluation des risques et des menaces pesant sur les infrastructures critiques, y compris les évaluations sur place, afin d'identifier les menaces et les points vulnérables et de déterminer les besoins de renforcer leur sécurité;

b) promouvoir et soutenir les mesures opérationnelles communes destinées à améliorer la sécurité des chaînes d'approvisionnement transfrontalières, sans fausser la concurrence dans le marché intérieur;

c) promouvoir et soutenir l'échange des meilleures pratiques, l'adoption de normes minimales de sûreté, d'outils d'évaluation des risques et de méthodes de comparaison et de classement des infrastructures par ordre de priorité dans les différents secteurs, ainsi que la réalisation d'analyses des points vulnérables et des liens de dépendance dans le domaine de la protection des infrastructures critiques;

d) promouvoir et soutenir une coordination et une coopération au niveau communautaire dans le domaine de la protection des infrastructures critiques, et le cas échéant l'élaboration de propositions de mesures de protection minimales et de lignes directrices communes.

Pour ce qui est de la gestion des conséquences, le programme vise à:

a) encourager, promouvoir et soutenir l'échange de savoir-faire, d'expériences et de technologies;

b) encourager, promouvoir et soutenir l'élaboration de méthodes et de plans d'intervention adéquats;

c) assurer la mise à disposition en temps réel de compétences spécifiques en matière de sûreté, dans le cadre de mécanismes globaux de gestion des crises, d'alerte rapide et de protection civile.

Proposition sans incidence financière sur les recettes

3. CARACTÉRISTIQUES BUDGÉTAIRES

Nature de la dépense | Nouvelle | Participation AELE | Participation pays candidats | Rubrique PF |

DNO | CND | sans objet | sans objet | sans objet | N° sans objet |

4. BASE JURIDIQUE

La base juridique de la proposition est l'article 308 du traité instituant la Communauté européenne.

5. DESCRIPTION ET JUSTIFICATION

5.1. Nécessité d'une intervention communautaire

5.1.1. Objectifs poursuivis

Une directive constitue le meilleur instrument pour créer le cadre EPCIP commun, puisque les États membres n'ont ni la même approche de la protection des infrastructures critiques ni les mêmes traditions juridiques. En avançant un certain nombre d'idées essentielles et en permettant aux États membres d'adopter l'approche la mieux adaptée à leurs besoins, il est possible de réaliser pleinement les objectifs de l'EPCIP, tout en s'appuyant sur ce qui a déjà été réalisé.

5.1.2. Dispositions prises en liaison avec l'évaluation ex ante

Tous les acteurs concernés ont été consultés au sujet de l'élaboration de l'EPCIP. Cette consultation a pris les formes suivantes:

- la publication du livre vert sur l'EPCIP, adopté le 17 novembre 2005, qui prévoyait une période de consultation jusqu'au 15 janvier 2006 et auquel 22 États membres ont répondu officiellement. Quelque 100 représentants du secteur privé ont également présenté des observations en réponse à ce livre vert. Les réponses ont généralement été favorables à l'idée de la création d'un tel programme;

- l'organisation par la Commission de trois séminaires sur la protection des infrastructures critiques (respectivement en juin 2005, en septembre 2005 et en mars 2006), qui ont réuni des représentants des États membres. Des représentants du secteur privé ont été invités aux séminaires de septembre 2005 et mars 2006;

- l'organisation de réunions informelles des points de contact PIC. La Commission a accueilli deux réunions des points de contact PIC des États membres (respectivement en décembre 2005 et en février 2006);

- l'organisation de réunions informelles avec des représentants du secteur privé, dont un grand nombre avec des représentants de certaines entreprises privées ainsi qu'avec des associations professionnelles;

- sur le plan interne, au sein de la Commission, les travaux d'élaboration de l'EPCIP ont pu progresser grâce à la tenue d'une réunion régulière du sous-groupe «Protection des infrastructures critiques», du groupe interservices «Aspects internes du terrorisme».

5.2. Actions envisagées et modalités de l'intervention budgétaire

L'incidence budgétaire est estimée dans la fiche financière ci-jointe.

5.3. Modalités de mise en œuvre

Puisqu'il s'agit d'une directive, aucune méthode d'exécution budgétaire n'est nécessaire.

6. INCIDENCE FINANCIÈRE

6.1. Incidence financière totale sur la partie B (pour toute la période de programmation)

6.1.1. Intervention financière

Sans objet

6.1.2. Assistance technique et administrative (ATA), dépenses d'appui (DDA) et dépenses TI (crédits d'engagement)

Sans objet

6.2. Calcul des coûts par mesure envisagée en partie B (pour toute la période de programmation)

Sans objet

7. INCIDENCE SUR LES EFFECTIFS ET LES DÉPENSES ADMINISTRATIVES

7.1. Incidence sur les ressources humaines

Types d'emplois | Effectifs à affecter à la gestion de l'action en utilisant les ressources existantes | Total | Description des tâches découlant de l'action |

Nombre d'emplois permanents | Nombre d'emplois temporaires |

Fonctionnaires ou agents temporaires | A B C | 8 A 1 B | 1 C | 10 | Collecte et traitement d'informations Préparation des réunions du comité |

Autres ressources humaines |

Total | 9 | 1 | 10 |

Les besoins en ressources humaines et administratives seront couverts par l'allocation accordée à la Direction générale gestionnaire dans le cadre de la procédure annuelle d'allocation.

7.2. Incidence financière globale des ressources humaines

Type de ressources humaines | Montants en euros | Mode de calcul * |

Fonctionnaires Agents temporaires | 1 080 000 48 000 | (108 000x10=1 080 000 4 000 x 12 = 48 000 |

Autres ressources humaines (indiquer la ligne budgétaire) |

Total | 1 128 000 |

Les montants correspondent aux dépenses totales pour 12 mois.

7.3. Autres dépenses de fonctionnement découlant de l'action

Ligne budgétaire (n° et intitulé) | Montants en euros | Mode de calcul |

Enveloppe globale (Titre A7) A0701 – Missions A07030 – Réunions A07031 – Comités obligatoires A07032 – Comités non obligatoires A07040 – Conférences A0705 – Études et consultations Autres dépenses (indiquer lesquelles) | 24 000 - 128 000 - - - | 2 000x12 mois=24 000 - 32 000 x 4 réunions par an=128 000 - - - |

Systèmes d’information (A-5001/A-4300) | - | - |

Autres dépenses - partie A (indiquer lesquelles) |

Total | 152 000 |

Les montants correspondent aux dépenses totales pour 12 mois.

Préciser le type de comité, ainsi que le groupe auquel il appartient.

I Total annuel (7.2 + 7.3) II Durée de l’action III. Coût total de l’action (I x II) | 1 280 000 En cours |

8. SUIVI ET ÉVALUATION

8.1. Système de suivi

Sans objet

8.2. Modalités et périodicité de l'évaluation prévue

Sans objet

9. MESURES ANTIFRAUDE

Sans objet

[1] JO C […] du […], p. […].

[2] JO C […] du […], p. […].

[3] JO C […] du […], p. […].

[4] Document du Conseil n° 10679/2/04 REV 2.

[5] COM(2004) 702.

[6] COM(2005) 576.

[7] JO L 184 du 17.7.1999, p. 23.