1)

Allo scopo di garantire il funzionamento del mercato interno, è nell’interesse di tutti gli Stati membri e dell’Unione nel suo insieme individuare chiaramente e proteggere le pertinenti infrastrutture critiche che forniscono servizi essenziali in detto mercato, in particolare in settori chiave quali l’energia, le infrastrutture digitali, i trasporti e lo spazio, nonché le infrastrutture critiche di significativa rilevanza transfrontaliera (1), la cui perturbazione potrebbe avere un significativo impatto su altri Stati membri.

2)

La presente raccomandazione, che è un atto non vincolante, mette in luce la volontà politica degli Stati membri di cooperare nonché l’impegno da essi assunto nei confronti delle misure raccomandate, come illustrato in un piano in cinque punti pubblicato dalla presidente della Commissione europea, nel pieno rispetto delle competenze degli Stati membri. La presente raccomandazione non pregiudica la tutela degli interessi essenziali della sicurezza nazionale, della sicurezza pubblica o della difesa degli Stati membri e non ci si dovrebbe aspettare da nessuno Stato membro che condivida informazioni contrarie a tali interessi.

3)

Sebbene la responsabilità primaria di garantire la sicurezza e la fornitura dei servizi essenziali da parte delle infrastrutture critiche spetti agli Stati membri e ai rispettivi operatori delle infrastrutture critiche, un maggiore coordinamento a livello dell’Unione risulta opportuno in particolare alla luce delle minacce in evoluzione che possono ripercuotersi su diversi Stati membri contemporaneamente, come la guerra di aggressione della Russia nei confronti dell’Ucraina e le campagne ibride contro gli Stati membri, o incidere sulla resilienza e sul buon funzionamento dell’economia, del mercato interno e dell’intera società dell’Unione. È opportuno prestare particolare attenzione alle infrastrutture critiche al di fuori del territorio degli Stati membri, come le infrastrutture critiche sottomarine o le infrastrutture energetiche offshore.

4)

Il Consiglio europeo, nelle sue conclusioni del 20 e 21 ottobre 2022, ha condannato fermamente gli atti di sabotaggio contro le infrastrutture critiche, come quelli a danno dei gasdotti Nord Stream, indicando la volontà dell’Unione di dare una risposta unitaria e risoluta a qualsiasi perturbazione deliberata delle infrastrutture critiche o ad altre azioni ibride.

5)

In considerazione dello scenario di minacce in rapida evoluzione, dovrebbero essere adottate in via prioritaria misure di aumento della resilienza in settori chiave quali energia, infrastrutture digitali, trasporti e spazio, e in altri settori pertinenti individuati dagli Stati membri. Tali misure dovrebbero puntare a rafforzare la resilienza delle infrastrutture critiche, tenendo conto dei rischi del caso, in particolare gli effetti a cascata, le perturbazioni delle catene di approvvigionamento, la dipendenza, l’impatto dei cambiamenti climatici, i fornitori e i partner inaffidabili nonché le minacce e le campagne ibride, comprese la manipolazione delle informazioni e le ingerenze da parte di attori stranieri. Per quanto riguarda le infrastrutture critiche nazionali, in considerazione delle possibili conseguenze, dovrebbe essere data priorità alle infrastrutture critiche di significativa rilevanza transfrontaliera. Gli Stati membri sono incoraggiati ad adottare con urgenza le suddette misure di aumento della resilienza, se del caso, mantenendo nel contempo l’approccio di cui al quadro giuridico in evoluzione.

(6)

La protezione delle infrastrutture critiche europee nei settori dell’energia e dei trasporti è attualmente disciplinata dalla direttiva 2008/114/CE del Consiglio (2), mentre la sicurezza delle reti e dei sistemi informativi nell’Unione, con particolare riguardo per le minacce di natura informatica, è assicurata dalla direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio (3). Al fine di garantire un livello comune più elevato di resilienza e protezione delle infrastrutture critiche, della cibersicurezza e del mercato finanziario, il quadro giuridico esistente viene modificato e integrato tramite l’adozione di nuove norme applicabili ai soggetti critici («direttiva CER»), di norme rafforzate per un livello comune elevato di cibersicurezza nell’Unione («direttiva NIS 2») e di nuove norme applicabili alla resilienza operativa digitale per il settore finanziario («DORA»).

7)

Gli Stati membri, conformemente al diritto dell’Unione e al diritto nazionale, dovrebbero avvalersi di tutti gli strumenti disponibili per proseguire in questa direzione e contribuire a rafforzare la resilienza fisica e informatica. A tale riguardo, fra le infrastrutture critiche dovrebbero rientrare le pertinenti infrastrutture critiche individuate da uno Stato membro a livello nazionale o designate come infrastrutture critiche europee a norma della direttiva 2008/114/CE, come pure i soggetti critici da individuare a norma della direttiva CER o, se del caso, i soggetti di cui alla direttiva NIS 2. Il concetto di resilienza dovrebbe essere inteso come riferito alla capacità di un’infrastruttura critica di prevenire, proteggere, rispondere, resistere, attenuare, assorbire, adattarsi o recuperare rispetto a eventi che perturbano in modo significativo o che possono perturbare in modo significativo la fornitura di servizi essenziali nel mercato interno, vale a dire servizi cruciali per mantenere le funzioni vitali della società e dell’economia, la pubblica sicurezza, l’incolumità pubblica, la salute della popolazione o l’ambiente.

8)

È opportuno convocare esperti nazionali per coordinare i lavori volti a conseguire un livello comune più elevato di resilienza e protezione delle infrastrutture critiche che sarà introdotto dalle nuove norme applicabili ai soggetti critici. Tale lavoro coordinato consentirebbe la cooperazione tra gli Stati membri e la condivisione di informazioni relative ad attività quali l’elaborazione di metodologie per individuare i servizi essenziali forniti dalle infrastrutture critiche. La Commissione ha già iniziato a convocare tali esperti e a facilitarne il lavoro, e intende proseguire in questa direzione. Una volta entrata in vigore la direttiva CER e istituito un gruppo per la resilienza dei soggetti critici a norma di detta direttiva, tale lavoro di anticipazione dovrebbe essere portato avanti da questo gruppo conformemente ai compiti ad esso attribuiti.

9)

Prendendo atto del mutato scenario delle minacce, è opportuno sviluppare ulteriormente le possibilità di effettuare prove di stress sulle infrastrutture critiche a livello nazionale, giacché tali prove potrebbero rivelarsi utili per rafforzare la resilienza delle infrastrutture critiche. Per quanto riguarda l’importanza specifica del settore dell’energia, così come le conseguenze a livello dell’Unione di una sua possibile perturbazione, tale settore potrebbe trarre massimo beneficio dall’effettuazione di prove di stress secondo principi concordati. Tali prove rientrano nelle competenze degli Stati membri, i quali dovrebbero incoraggiare e sostenere gli operatori delle infrastrutture critiche a effettuare dette prove, laddove ritenute vantaggiose e conformi ai rispettivi quadri giuridici nazionali.

10)

Al fine di garantire una risposta coordinata ed efficace alle minacce attuali e previste, la Commissione è incoraggiata a fornire un sostegno supplementare agli Stati membri, in particolare fornendo informazioni pertinenti sotto forma di istruzioni, manuali e orientamenti non vincolanti. Il servizio europeo per l’azione esterna (SEAE), in particolare attraverso il Centro UE di situazione e di intelligence e la sua cellula per l’analisi delle minacce ibride, con il sostegno della direzione «Intelligence» dello Stato maggiore dell’Unione europea (EUMS) nel quadro della capacità unica di analisi dell’intelligence (SIAC), dovrebbe fornire valutazioni delle minacce. La Commissione è inoltre invitata, in cooperazione con gli Stati membri, a promuovere l’adozione di progetti di ricerca e innovazione finanziati dall’Unione.

11)

Con la crescente interdipendenza delle infrastrutture fisiche e digitali, è possibile che le attività informatiche dolose rivolte a settori critici causino perturbazioni o danni alle infrastrutture fisiche o che il sabotaggio delle infrastrutture fisiche renda i servizi digitali inaccessibili. Gli Stati membri sono invitati ad accelerare i lavori preparatori per il recepimento e l’applicazione del nuovo quadro giuridico applicabile ai soggetti critici e del quadro giuridico rafforzato per la cibersicurezza, sulla scorta dell’esperienza acquisita in seno al gruppo di cooperazione istituito dalla direttiva (UE) 2016/1148 («gruppo di cooperazione NIS»), il più presto possibile, tenendo conto dei termini per il recepimento e del fatto che tali lavori preparatori dovrebbero progredire in parallelo e in modo coerente.

12)

Oltre a migliorare la preparazione, è importante rafforzare la capacità di rispondere in modo rapido ed efficace a una perturbazione dei servizi essenziali forniti dalle infrastrutture critiche. La presente raccomandazione contiene pertanto misure a livello sia dell’Unione che nazionale, anche sottolineando il ruolo di sostegno e il valore aggiunto che si possono ottenere introducendo una cooperazione rafforzata e uno scambio di informazioni nel contesto del meccanismo unionale di protezione civile (UCPM) istituito dalla decisione n. 1313/2013/UE del Parlamento europeo e del Consiglio (4) e utilizzando le risorse pertinenti del programma spaziale dell’Unione istituito a norma del regolamento (UE) 2021/696 del Parlamento europeo e del Consiglio (5).

13)

La Commissione, l’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza («alto rappresentante») e il gruppo di cooperazione NIS, in collaborazione con i pertinenti organismi e agenzie civili e militari e le pertinenti reti consolidate, compresa la rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe), devono effettuare una valutazione dei rischi ed elaborare scenari di rischio. In aggiunta, sulla scorta dell’invito ministeriale congiunto di Nevers, una valutazione dei rischi è attualmente condotta dal gruppo di cooperazione NIS, con il sostegno della Commissione e dell’Agenzia europea per la cibersicurezza (ENISA) e in cooperazione con l’Organismo dei regolatori europei delle comunicazioni elettroniche (BEREC). Questi due esercizi saranno coerenti e coordinati con l’elaborazione di scenari nel quadro dell’UCPM, compresi gli eventi di cibersicurezza e il loro impatto reale, attualmente condotta dalla Commissione e dagli Stati membri. Ai fini dell’efficienza, dell’efficacia e della coerenza, nonché per la corretta applicazione della presente raccomandazione, i risultati di tali esercizi dovrebbero essere rispecchiati a livello nazionale.

14)

Per potenziare immediatamente la preparazione e la capacità di rispondere agli incidenti di cibersicurezza su vasta scala, la Commissione ha istituito un programma a breve termine volto a sostenere gli Stati membri attraverso finanziamenti aggiuntivi assegnati all’ENISA. Tra i servizi proposti figurano, tra l’altro, azioni di preparazione, quali test di penetrazione dei soggetti al fine di individuare le vulnerabilità. Il programma può inoltre rafforzare le possibilità di assistere gli Stati membri in caso di incidenti di cibersicurezza su vasta scala che colpiscano soggetti critici. Si tratta di un primo passo in linea con le conclusioni del Consiglio del 23 maggio 2022 sull’elaborazione di una posizione dell’Unione europea in materia di deterrenza informatica («conclusioni del Consiglio sulla posizione dell’UE in materia di deterrenza informatica»), in cui si invita la Commissione a presentare una proposta su un Fondo di risposta alle emergenze di cibersicurezza. Gli Stati membri dovrebbero sfruttare appieno tali opportunità, nel rispetto dei requisiti applicabili, e sono incoraggiati a proseguire i lavori nel settore della gestione delle crisi informatiche dell’Unione, in particolare monitorando e facendo il punto periodicamente dei progressi compiuti nell’attuazione della tabella di marcia per la gestione delle crisi informatiche, elaborata di recente in sede di Consiglio. Tale tabella di marcia è un documento in divenire che dovrebbe essere rivisto e aggiornato ove necessario.

15)

I cavi di comunicazione sottomarini globali sono essenziali per la connettività a livello mondiale e all’interno dell’UE. Poiché i cavi sono molto lunghi e installati sul fondo marino, il monitoraggio visivo subacqueo della maggior parte delle loro sezioni è estremamente impegnativo. La competenza condivisa e altre questioni giurisdizionali relative a tali cavi rappresentano un argomento specifico a favore della cooperazione europea e internazionale in materia di protezione e recupero delle infrastrutture. È pertanto necessario integrare le valutazioni dei rischi, tanto in corso quanto pianificate, relative alle infrastrutture digitali e fisiche su cui si basano i servizi digitali con valutazioni dei rischi e possibili misure di attenuazione specifiche per i cavi di comunicazione sottomarini. Gli Stati membri invitano la Commissione a effettuare studi a tal fine e a trasmettere loro le sue conclusioni.

16)

Sui settori dell’energia e dei trasporti possono incidere anche le minacce relative alle infrastrutture digitali, ad esempio in relazione alle tecnologie energetiche che comprendono componenti digitali. La sicurezza delle catene di approvvigionamento associate è importante per la continuità della fornitura di servizi essenziali e per il controllo strategico delle infrastrutture critiche nel settore energetico. È opportuno tenerne conto al momento di adottare misure volte a rafforzare la resilienza delle infrastrutture critiche conformemente alla presente raccomandazione.

17)

Data la crescente importanza delle infrastrutture spaziali, delle risorse di terra relative allo spazio — compresi gli impianti di produzione — e dei servizi spaziali per le attività connesse alla sicurezza, è essenziale garantire la resilienza e la protezione dello spazio dell’Unione come pure delle sue risorse e dei suoi servizi di terra all’interno dell’Unione. Per le stesse ragioni, è essenziale anche, nel quadro della presente raccomandazione, utilizzare in modo più strutturato i dati e i servizi spaziali, che sono forniti dai sistemi e dai programmi spaziali per la sorveglianza e il tracciamento e per la protezione delle infrastrutture critiche in altri settori. La futura strategia spaziale dell’UE per la sicurezza e la difesa proporrà azioni adeguate al riguardo, di cui si dovrebbe tenere conto nell’attuazione della presente raccomandazione.

18)

Occorre inoltre cooperare a livello internazionale così da affrontare efficacemente i rischi per le infrastrutture critiche, tra l’altro, nelle acque internazionali. Gli Stati membri sono pertanto invitati a cooperare con la Commissione e l’alto rappresentante per adottare misure al fine di realizzare tale cooperazione, ricordando che dovrebbero intervenire solo in conformità dei rispettivi compiti e responsabilità ai sensi del diritto dell’Unione, in particolare delle disposizioni dei trattati in materia di relazioni esterne.

19)

Come stabilito nella comunicazione del 15 febbraio 2022 dal titolo «Contributo della Commissione alla difesa europea», a sostegno della «Bussola strategica per la sicurezza e la difesa — Per un’Unione europea che protegge i suoi cittadini, i suoi valori e i suoi interessi e contribuisce alla pace e alla sicurezza internazionali», entro il 2023 la Commissione valuterà, in cooperazione con l’alto rappresentante e gli Stati membri, i parametri di riferimento settoriali per la resilienza contro le minacce ibride al fine di individuare le lacune e i bisogni, così come le misure atte a colmare le prime e soddisfare i secondi. Tale iniziativa dovrebbe orientare i lavori previsti dalla presente raccomandazione, contribuendo a intensificare la condivisione delle informazioni e il coordinamento delle azioni per aumentare la resilienza, compresa quella delle infrastrutture critiche.

20)

La strategia per la sicurezza marittima dell’Unione europea del 2014 e il relativo piano d’azione riveduto esortavano ad aumentare la protezione delle infrastrutture marittime critiche, incluse quelle subacquee, e in particolare delle infrastrutture marittime nel settore dei trasporti, dell’energia e della comunicazione, tra l’altro promuovendo la conoscenza della situazione marittima attraverso il miglioramento dell’interoperabilità e l’ottimizzazione dello scambio (obbligatorio e volontario) di informazioni. La strategia e il piano d’azione sono attualmente in fase di aggiornamento e comprenderanno azioni rafforzate volte a proteggere le infrastrutture marittime critiche. Tali azioni dovrebbero integrare la presente raccomandazione.

21)

Il rafforzamento della resilienza delle infrastrutture critiche contribuisce a intensificare gli sforzi per contrastare le minacce e le campagne ibride contro l’Unione e i suoi Stati membri. La presente raccomandazione si basa sulla comunicazione congiunta al Parlamento europeo e al Consiglio dal titolo «Quadro congiunto per contrastare le minacce ibride — La risposta dell’Unione europea». L’azione 1 del quadro congiunto, vale a dire lo studio sui rischi ibridi, svolge un ruolo fondamentale nell’individuare le vulnerabilità che possono interessare strutture e reti nazionali e paneuropee. Inoltre, l’attuazione delle conclusioni del Consiglio del 21 giugno 2022 su un quadro per una risposta coordinata dell’UE alle campagne ibride fornirà un’azione coordinata più forte attraverso l’applicazione del pacchetto di strumenti dell’UE contro le minacce ibride in tutti i settori interessati,

1)

2)

3)

4)

5)

6)

7)

8)

9)

10)

11)

12)

13)

14)

15)

16)

17)

Il lavoro di tali esperti designati dovrebbe prestare particolare attenzione alle dipendenze intersettoriali e alle infrastrutture critiche di significativa rilevanza transfrontaliera, e dovrebbe essere proseguito in sede di Consiglio e di Commissione, ove opportuno.

18)

19)

20)

21)

22)

23)

24)

25)

26)

27)

28)

29)

30)

31)

32)

33)

34)

35)

36)

37)

38)