IL-KUMMISSJONI EWROPEA

Brussell, 28.10.2019

COM(2019) 546 final

RAPPORT TAL-KUMMISSJONI LILL-PARLAMENT EWROPEW U LILL-KUNSILL

li jivvaluta l-konsistenza tal-approċċi li ħaddmu l-Istati Membri fl-identifikazzjoni tal-operaturi tas-servizzi essenzjali skont l-Artikolu 23(1) tad-Direttiva 2016/1148/UE dwar is-sigurtà tan-networks u tas-sistemi tal-informazzjoni

1.Daħla

Id-Direttiva (UE) 2016/1148 li tikkonċerna miżuri għal livell komuni għoli ta’ sigurtà tan-networks u tas-sistemi tal-informazzjoni madwar l-Unjoni 1 (id-Direttiva NIS) hi l-ewwel strument tas-suq intern bil-għan li jtejjeb ir-reżiljenza tal-UE kontra r-riskji taċ-ċibersigurtà. Abbażi tal-Artikolu 114 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, id-Direttiva għandha l-għan li tiżgura l-kontinwità tas-servizzi li jippermettu li l-ekonomija u s-soċjetà tal-Unjoni jiffunzjonaw tajjeb. Biex tagħmel dan, id-Direttiva tintroduċi miżuri konkreti għat-tiswir ta’ kapaċitajiet taċ-ċibersigurtà madwar l-UE u għat-trażżin tat-theddid dejjem akbar għan-networks u s-sistemi tal-informazzjoni użati biex jipprovdu servizzi essenzjali f’setturi ewlenin.

Wara d-dħul fis-seħħ tagħha f’Awwissu 2016, l-Istati Membri kellhom sad-9 ta’ Mejju 2018 2 biex jadottaw il-miżuri nazzjonali meħtieġa ħalli jikkonformaw mad-dispożizzjonijiet tad-Direttiva NIS. Id-Direttiva tippromwovi kultura ta’ ġestjoni tar-riskji fost il-kumpaniji jew entitajiet oħra li jipprovdu servizzi essenzjali u li skont l-Artikolu 5 huma ddefiniti bħala “operaturi tas-servizzi essenzjali”. L-operaturi li jaqgħu fil-kamp ta’ applikazzjoni tad-Direttiva huma meħtieġa jieħdu miżuri tekniċi u organizzattivi xierqa u proporzjonati biex jiġġestixxu r-riskji għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni tagħhom u biex jinnotifikaw l-inċidenti serji lill-awtoritajiet kompetenti.

Il-koleġiżlaturi ddelegaw l-implimentazzjoni tad-Direttiva NIS f’idejn l-Istati Membri li suppost iridu jiddefinixxu s-servizzi essenzjali u jidentifikaw l-operaturi tas-servizzi essenzjali fit-territorji tagħhom. B’hekk, l-Artikolu 5(7) tad-Direttiva jeżiġi li l-Istati Membri jirrapportaw lill-Kummissjoni dwar ir-riżultati ta’ din l-identifikazzjoni. Biex ikun hemm rappurtar koordinat, kemm il-Kummissjoni 3 kif ukoll il-Grupp ta’ Kooperazzjoni stabbilit mid-Direttiva 4 pprovdew gwida lill-Istati Membri dwar il-proċess tal-identifikazzjoni.

F’konformità mal-Artikolu 23(1), ir-rapport preżenti jivvaluta l-konsistenza tal-approċċi li ħadu l-Istati Membri biex jidentifikaw l-operaturi tas-servizzi essenzjali. Billi l-konsistenza tal-identifikazzjoni tal-operaturi tas-servizzi essenzjali u r-riskju tal-frammentazzjoni fis-suq intern f’dan il-qasam huma marbuta mill-qrib, dan ir-rapport se jikkontribwixxi wkoll għall-valutazzjoni usa’ tad-Direttiva NIS, kif stipulat fl-Artikolu 23(2), li jipprevedi li l-Kummissjoni għandha tanalizza perjodikament il-funzjonament ġenerali tad-Direttiva u tivvaluta l-lista ta’ setturi u sottosetturi soġġetti għall-identifikazzjoni tal-operaturi tas-servizzi essenzjali u t-tipi ta’ servizzi diġitali koperti mid-Direttiva. L-ewwel wieħed minn dawn ir-rapporti għandu jiġi ppreżentat sad-9 ta’ Mejju 2021.

1.1L-iskop tar-rapport

Minħabba r-rwol importanti tagħhom għall-ekonomija u s-soċjetà kollha kemm hi, l-operaturi tas-servizzi essenzjali għandhom juru livell partikolarment għoli ta’ reżiljenza kontra l-inċidenti ċibernetiċi. F’dan ir-rigward, hu importanti li l-Istati Membru jħaddmu approċċ konsistenti fl-identifikazzjoni tal-operaturi tas-servizzi essenzjali, għal diversi raġunijiet:

1.Biex jonqsu r-riskji relatati mad-dipendenzi transfruntieri:

In-nuqqas ta’ identifikazzjoni konsistenti tal-operaturi importanti li jipprovdu servizzi transfruntieri jista’ jwassal għal livell irregolari ta’ reżiljenza ċibernetika bejn Stati Membri differenti, filwaqt li jżid ir-riskju li l-inċident transfruntier jagħmel ħsara fl-infrastrutturi kritiċi jew jikkawża mwiet fost iċ-ċittadini. 5 Pereżempju, l-operaturi tat-trażmissjoni tal-enerġija jew ir-reġistri tad-dominji ta’ livell għoli, li t-tnejn huma parti mil-lista ta’ tipi ta’ entitajiet fl-Anness II, huma entitajiet li jagħmlu l-aħjar użu mis-suq intern billi jipprovdu servizzi transfruntieri lill-konsumaturi u lin-negozji. Għalhekk, identifikazzjoni konsistenti ta’ dawn il-fornituri madwar l-Unjoni tista’ tgħin biex ikun evitat li jiżdied it-theddid ċibernetiku fis-suq intern kollu 6 .

2.Biex ikunu żgurati kundizzjonijiet ekwi għall-operaturi fis-suq intern:

Id-Direttiva NIS teżiġi li l-Istati Membri jistabbilixxu rekwiżiti tas-sigurtà u proċeduri tan-notifika tal-inċidenti għall-operaturi tas-servizzi essenzjali. Billi d-Direttiva tħaddem approċċ ta’ armonizzazzjoni minima fir-rigward tal-operaturi tas-servizzi essenzjali, l-Istati Membri huma liberi li jimponu rekwiżiti fuq l-operaturi li huma ogħla minn dawk previsti fid-Direttiva. Filwaqt li jsaħħu r-reżiljenza tal-Istati Membri, dawn il-miżuri jistgħu jiġġeneraw spejjeż regolatorji addizzjonali għall-operaturi kkonċernati. Għalhekk hu importanti li l-operaturi li jipprovdu servizzi simili ta’ rilevanza simili jkunu soġġetti għal trattament regolatorju simili.

3.Biex jonqas ir-riskju ta’ interpretazzjonijiet diverġenti tad-Direttiva:

Id-Direttiva tfasslet b’mod li tagħti lok lill-Istati Membri għal manuvrar fejn tidħol l-għażla tal-entitajiet rilevanti ħalli jitqiesu l-ispeċifiċitajiet nazzjonali. Fl-istess ħin, dan l-approċċ iżid ir-riskju ta’ implimentazzjoni diverġenti tad-dispożizzjonijiet tad-Direttiva u jista’ potenzjalment iwassal għal inkonsistenzi fil-miżuri adottati mill-Istati Membri. Dan hu partikolarment importanti għall-kumpaniji attivi f’diversi pajjiżi u li għalhekk iridu jissodisfaw ir-rekwiżiti regolatorji ta’ aktar minn Stat Membru wieħed.

4.Biex tinkiseb ħarsa ġenerali komprensiva lejn il-livell ta’ reżiljenza ċibernetika madwar l-UE kollha:

L-operaturi tas-servizzi essenzjali huma soġġetti għal attivitajiet superviżorji maħsuba biex jivverifikaw l-implimentazzjoni effettiva tal-politiki tas-sigurtà, kif ukoll in-notifika tal-inċidenti sinifikanti. Is-superviżjoni tiffavorixxi l-iżvilupp ta’ kooperazzjoni pubblika privata aktar soda, li twassal għall-iżvilupp ta’ għarfien kondiviż dwar it-tħejjija għas-sigurtà ċibernetika fi Stat Membru. Bis-saħħa tal-Grupp ta’ Kooperazzjoni, il-kondiviżjoni tal-esperjenza nazzjonali, inkluż l-informazzjoni dwar l-inċidenti notifikati 7 , tista’ tiġi aggregata fil-livell tal-UE u tikkontribwixxi għal valutazzjoni aktar preċiża tat-theddidiet u tal-ħtiġijiet ewlenin. Madankollu, biex dan l-eżerċizzju ta’ kondiviżjoni tal-informazzjoni jkun effettiv, dan jenħtieġ ikun ibbażat fuq fehim komuni dwar liema entitajiet għandhom jiġu identifikati bħala operaturi tas-servizzi essenzjali.

1.2Il-proċedura tal-identifikazzjoni skont id-Direttiva NIS

Fl-Anness II tagħha, id-Direttiva NIS tipprovdi lista ta’ seba’ setturi u s-sottosetturi rispettivi tagħhom, flimkien mat-tipi ta’ entitajiet li huma rilevanti għall-proċess tal-identifikazzjoni ( Table 1 ). L-Artikolu 5(3) jeżiġi li l-Istati Membri jistabbilixxu lista ta’ servizzi essenzjali bbażata fuq dawn is-setturi, is-sottosetturi u t-tipi ta’ entitajiet. Bl-approċċ ta’ armonizzazzjoni minima tad-Direttiva, l-Istati Membri jkunu jistgħu jmorru lil hinn mill-kamp ta’ applikazzjoni tal-Anness II u jwettqu identifikazzjoni f’setturi u sottosetturi addizzjonali.

Tabella 1: Is-setturi u s-sottosetturi elenkati fl-Anness II tad-Direttiva NIS

L-Artikolu 5(2) jistabbilixxi tliet kriterji li jridu jużaw l-Istati Membri biex jidentifikaw l-operaturi tas-servizzi essenzjali:

1.L-entità inkwistjoni jeħtieġ tipprovdi servizz essenzjali għaż-żamma tal-attivitajiet tas-soċjetà u/jew ekonomiċi kritiċi. Għal dak il-għan, l-awtoritajiet kompetenti nazzjonali għandhom jikkonsultaw il-listi tas-servizzi essenzjali tagħhom stabbiliti minn qabel.

2.Is-servizz ipprovdut għandu jkun jiddependi fuq in-networks u s-sistemi tal-informazzjoni.

3.Inċident jeħtieġ ikun iħalli effetti ta’ tfixkil sinifikanti fuq il-forniment tas-servizz rilevanti. L-Artikolu 6 jispeċifika li s-sinifikat ta’ inċident għandu jiġi vvalutat bl-użu ta’ fatturi transettorjali u, meta xieraq, permezz ta’ fatturi speċifiċi għas-setturi 8 .

Barra minn hekk, l-Artikolu 5(4) tad-Direttiva jeżiġi li l-Istati Membri jidħlu f’konsultazzjoni bejniethom jekk isibu li operatur potenzjali tas-servizzi essenzjali qed jipprovdi servizzi f’aktar minn Stat Membru wieħed. Din il-proċedura obbligatorja hi maħsuba biex tgħin lill-Istati Membri jivvalutaw l-impatt potenzjali ta’ inċident ċibernetiku li jaffettwa entitajiet li joperaw bejn il-fruntieri, kif ukoll biex taġixxi bħala salvagwardja għall-kumpaniji affettwati mill-proċedura fi Stati Membri differenti.

1.3Il-metodoloġija tar-rapport

Ir-riżultati tar-rapport huma bbażati fuq valutazzjoni mwettqa bejn Novembru 2018 u Settembru 2019. Ħafna Stati Membri ma kinux għamlu l-informazzjoni meħtieġa biex jitfassal ir-rapport preżenti disponibbli għall-Kummissjoni fil-ħin. Għalhekk, l-adozzjoni tar-rapport kellha tiġi posposta għal wara d-9 ta’ Mejju 2019, id-data tal-adozzjoni prevista mill-Artikolu 23(1) tad-Direttiva NIS. Id-data nġabret b’diversi mezzi: l-informazzjoni mressqa mill-Istati Membri abbażi ta’ mudell standardizzat imħejji mill-ENISA, intervisti standardizzati ma’ awtoritajiet nazzjonali magħżula, u laqgħat tal-Grupp ta’ Kooperazzjoni, fosthom sessjoni ta’ ħidma dwar dan is-suġġett li saret fid-19 ta’ Marzu 2019.

Abbażi tal-informazzjoni miġbura, ir-rapport jevalwa kemm huma konsistenti bejniethom l-approċċi tal-identifikazzjoni tal-Istati Membri, billi

1.iqabbel il-metodoloġiji differenti tal-identifikazzjoni magħżula mill-awtoritajiet nazzjonali,

2.jeżamina l-listi tas-servizzi essenzjali u l-limiti magħżula mill-Istati Membri,

3.janalizza l-għadd ta’ operaturi tas-servizzi essenzjali f’kull Stat Membru.

Ir-rapport jevalwa wkoll kif ġew implimentati d-dispożizzjonijiet tad-Direttiva rigward il-proċedura ta’ konsultazzjoni transfruntiera (l-Artikolu 5(4)) u l-prinċipju lex specialis (l-Artikolu 1(7)). Ir-rapport jipprovdi analiżi fattwali tal-proċess tal-identifikazzjoni li għamlu l-Istati Membri flimkien ma’ konklużjonijiet preliminari u mistoqsijiet miftuħa għal aktar riflessjoni.

1.4Id-disponibbiltà tad-data

Id-dispożizzjonijiet tad-Direttiva NIS jeżiġu li l-Istati Membri jipprovdu biss sett limitat tad-data lill-Kummissjoni. Pereżempju, l-awtoritajiet nazzjonali mhumiex meħtieġa jippreżentaw l-ismijiet tal-operaturi identifikati, li jagħmilha diffiċli għas-servizzi tal-Kummissjoni biex iqabblu r-riżultati tal-proċess tal-identifikazzjoni mil-lat ta’ kompletezza tal-lista u impatt fuq il-kumpaniji tal-istess daqs u li jappartjenu għall-istess settur.

Skont it-termini tal-Artikolu 5(7), l-Istati Membri kollha jenħtieġ ikunu taw il-kontribut meħtieġ għal dan ir-rapport sa mhux aktar tard mid-9 ta’ Novembru 2018. Madankollu, 15-il pajjiż biss ippreżentaw data sostanzjali sa dik id-data (ara t-tabella mehmuża fit-taqsima 4.1). Wara bosta tfakkiriet min-naħa tal-Kummissjoni, il-lakuni fid-data baqgħu sinifikanti. Għalhekk, fis-26 ta’ Lulju 2019, il-Kummissjoni bagħtet ittri ta’ notifika formali lil 6 Stati Membri 9 , u stednithom iressqu d-data nieqsa fi żmien xahrejn.

Fid-data tal-pubblikazzjoni ta’ dan ir-rapport, 23 Stat Membru ressqu d-data kollha meħtieġa skont l-Artikolu 5(7): Il-Bulgarija, il-Kroazja, Ċipru, ir-Repubblika Ċeka, il-Ġermanja, id-Danimarka, l-Estonja, il-Greċja, Spanja, il-Finlandja, Franza, l-Irlanda, l-Italja, il-Litwanja, il-Lussemburgu, il-Latvja, Malta, in-Netherlands, il-Polonja, il-Portugall, l-Iżvezja, is-Slovakkja u r-Renju Unit. Il-5 Stati Membri l-oħra (l-Awstrija, il-Belġju, l-Ungerija, ir-Rumanija u s-Slovenja) ipprovdew id-data parzjalment biss dwar l-identifikazzjoni tal-operaturi tas-servizzi essenzjali nazzjonali, għax ma setgħux itemmu l-proċess tal-identifikazzjoni tagħhom fil-ħin tal-pubblikazzjoni ta’ dan ir-rapport.

2.L-identifikazzjoni tal-operaturi tas-servizzi essenzjali fl-Istati Membri

Id-Direttiva NIS tistabbilixxi qafas għall-identifikazzjoni tal-operaturi tas-servizzi essenzjali li jagħti d-diskrezzjoni lill-Istati Membri biex iqisu l-ispeċifiċitajiet nazzjonali. Għaldaqstant, l-Istati Membri żviluppaw varjetà wiesgħa ta’ prattiki tal-identifikazzjoni.

2.1Il-metodoloġiji użati mill-Istati Membri

L-Istati Membri fasslu metodoloġiji differenti biex jidentifikaw l-operaturi, b’użu sħiħ tal-flessibbiltà li tagħti d-Direttiva NIS. Wieħed mill-elementi li influwenzaw il-metodoloġiji nazzjonali kien l-eżistenza minn qabel ta’ qafas, bħad-Direttiva tal-Kunsill 2008/114/KE dwar l-infrastrutturi kritiċi 10 jew ta’ dispożizzjonijiet nazzjonali oħra dwar “operaturi vitali”. F’dawn il-każijiet, l-Istati Membri użaw l-esperjenza preċedenti tagħhom bħala punt ta’ referenza u inkorporaw l-ispeċifiċitajiet relatati mad-Direttiva NIS fil-metodoloġiji eżistenti.

Id-differenzi fil-metodoloġiji nazzjonali jaqgħu fil-kategoriji ewlenin li ġejjin: is-servizzi essenzjali, l-użu tal-limiti, il-grad ta’ ċentralizzazzjoni, l-awtoritajiet inkarigati mill-identifikazzjoni u l-valutazzjoni tad-dipendenza fuq in-networks u s-sistemi tal-informazzjoni. Minħabba l-importanza tagħhom għall-valutazzjoni tal-konsistenza tal-identifikazzjoni tal-operaturi tas-servizzi essenzjali, ġew iddedikati taqsimiet separati għall-analiżi tas-servizzi essenzjali u l-limiti. Il-kriterji l-oħra ġew trattati f’din it-taqsima.

Il-grad taċ-ċentralizzazzjoni

Il-biċċa l-kbira tal-Istati Membri għażlu li jiddelegaw parti mit-teħid tad-deċiżjonijiet fir-rigward ta’ diversi elementi tal-proċess tal-identifikazzjoni lil awtoritajiet settorjali (Ministeri, Aġenziji, eċċ.). Il-grad tad-deċentralizzazzjoni jvarja minn każ għal ieħor, u l-biċċa l-kbira tal-Istati Membri jaħtru awtorità waħda li tieħu ħsieb tipprovdi gwida lill-awtoritajiet settorjali u tikkonsolida l-informazzjoni. Madankollu, xi pajjiżi għażlu li jżommu l-proċess tal-identifikazzjoni f’idejn awtorità waħda. Hemm ukoll każijiet bi grad estremament għoli ta’ deċentralizzazzjoni, fejn l-awtoritajiet settorjali jkunu responsabbli għall-iżvilupp tal-metodoloġiji tagħhom stess.

Ħafna Stati Membri analizzaw bir-reqqa l-aspetti differenti tal-istruttura istituzzjonali tal-identifikazzjoni tal-operaturi tas-servizzi essenzjali. L-evitar tal-kunflitt ta’ interess kien iċċitat mill-awtoritajiet bħala wieħed mill-merti ta’ identifikazzjoni ċentralizzata: apparentement, l-operaturi joqogħdu aktar lura milli jiżvelaw l-informazzjoni rilevanti lir-regolaturi settorjali, għax jibżgħu li din l-informazzjoni tista’ tintuża wkoll għal skopijiet regolatorji oħra.

Min-naħa l-oħra jidher li l-approċċi deċentralizzati jrawmu djalogu fost l-awtoritajiet kompetenti (settorjali u taċ-ċibersigurtà) tan-NIS, li jgħinhom jidentifikaw aħjar l-implikazzjonijiet tad-dipendenzi transettorjali. Barra minn hekk, l-awtoritajiet settorjali ġeneralment jifhmu aktar is-setturi fid-dettall mill-awtoritajiet tat-tmexxija.

Il-proċedura tal-identifikazzjoni (minn fuq għal isfel vs. minn isfel għal fuq)

Tista’ ssir distinzjoni importanti oħra bejn l-Istati Membri li fihom l-awtoritajiet pubbliċi jwettqu l-proċess tal-identifikazzjoni (identifikazzjoni minn fuq għal isfel) u l-Istati Membri fejn l-operaturi tas-suq jintalbu jivverifikaw huma stess jekk jissodisfawx ir-rekwiżiti bħala operaturi tas-servizzi essenzjali (l-hekk imsejħa identifikazzjoni minn isfel għal fuq jew awtoidentifikazzjoni). Biex dan l-aħħar approċċ jaħdem b’mod effettiv, l-Istati Membri jenħtieġ jistabbilixxu multi għaljin biżżejjed li jiddiswadu lill-operaturi milli ma jersqux ’il quddiem, kif previst fl-Artikolu 21 tad-Direttiva NIS. Fil-biċċa l-kbira tal-każijiet, il-proċess tal-identifikazzjoni hu minn fuq għal isfel. Iżda fil-prattika, ħafna drabi l-awtoritajiet jistrieħu parzjalment fuq ċerti elementi ta’ awtovalutazzjoni, bħall-kwestjonarji li jridu jimtlew mill-operaturi potenzjali tas-servizzi essenzjali.

Jekk ir-regoli u l-limiti li jirregolaw l-identifikazzjoni tal-operaturi tas-servizzi essenzjali jkunu espliċiti u trasparenti, kemm l-identifikazzjoni minn fuq għal isfel kif ukoll l-identifikazzjoni minn isfel għal fuq jenħtieġ iwasslu riżultati simili. Għalhekk, fil-prinċipju, jenħtieġ li l-għażla ta’ approċċ wieħed flok l-ieħor ma jkunx iħalli impatt fuq il-konsistenza.

Valutazzjoni tad-dipendenza tan-networks

Kif spjegat fit-Taqsima 1.2, l-Artikolu 5(2)(b) jeżiġi li l-Istati Membri jivvalutaw id-dipendenza ta’ operatur fuq in-networks u s-sistemi tal-informazzjoni bħala parti mill-proċedura tal-identifikazzjoni tal-operaturi tas-servizzi essenzjali. Ħafna Stati Membri, meta japplikaw dawn il-kriterji, iqisu d-dipendenza fuq in-networks u s-sistemi tal-informazzjoni li tingħata fl-ekonomija diġitali tal-lum. Madankollu, xi awtoritajiet għażlu prattiki aktar elaborati, pereżempju billi jwettqu valutazzjonijiet dettaljati jew billi jitolbu lill-operaturi jevalwaw huma stess il-grad tad-dipendenza tagħhom.

2.2L-identifikazzjoni tas-servizzi

Il-premessa 23 tad-Direttiva NIS issemmi espliċitament il-listi tas-servizzi essenzjali bħala kontribut li jrid jintuża fil-“valutazzjoni tal-prattika regolatorja ta’ kull Stat Membru bil-għan li jkun żgurat il-livell ġenerali tal-konsistenza”. Billi l-listi tas-servizzi essenzjali mfassla mill-Istati Membri jservu bħala bażi għall-identifikazzjoni tal-operaturi, id-differenzi fis-servizzi identifikati jistgħu jwasslu għal identifikazzjoni inkonsistenti tal-operaturi fost l-Istati Membri, speċjalment jekk is-servizzi speċifiċi provduti fil-pajjiżi kollha jiġu identifikati biss minn xi Stati Membri.

In-numri tas-servizzi identifikati mill-Istati Membri kif koperti mill-Anness II tad-Direttiva NIS li ġew irrapportati lill-Kummissjoni jvarjaw ħafna bejn l-Istati Membri (in-numri għall-Istati Membri lkoll jinsabu fl-Anness fit-Taqsima 4.2). B’medja ta’ 35 servizz għal kull Stat Membru, in-numru tas-servizzi identifikati jvarja minn 12 għal 87, kif turi Figure 1 . Filwaqt li Stati Membri akbar għandhom it-tendenza li jidentifikaw ftit aktar servizzi mill-Istati Membri iżgħar, ma jidhirx li hemm korrelazzjoni qawwija bejn id-daqs ta’ Stat Membru u n-numru tas-servizzi identifikati. Dan ikun mistenni għax fil-prattika l-konsumaturi u l-kumpaniji ġeneralment ikollhom aċċess għall-istess tipi ta’ servizzi fl-Istati Membri kollha, irrispettivament mid-daqs tal-pajjiż.

Figura 1: In-numru ġenerali tas-servizzi essenzjali identifikati mill-Istati Membri

In-numru tas-servizzi identifikati jvarja mhux biss meta wieħed iħares lejn l-Istati Membri kollha kemm huma, iżda anki meta wieħed jagħti ħarsa aktar mill-qrib lejn is-setturi u s-sottosetturi. Pereżempju, fis-settur bankarju, in-numru tas-servizzi identifikati jvarja minn 1 sa 21. Kif turi Figure 2 , il-firxa tas-servizzi identifikati tvarja b’mod sinifikanti bejn il-pajjiżi fil-biċċa l-kbira tas-setturi u s-sottosetturi.

Figura 2: In-numru tas-servizzi identifikati mill-Istati Membri f’kull settur u sottosettur. Kull punt tad-data jirrappreżenta n-numru tas-servizzi identifikati minn Stat Membru fis-(sotto)settur rispettiv. 11

Sa ċertu punt, in-numri murija fi Figure 2 jirriflettu approċċi metodoloġiċi differenti bejn il-pajjiżi. Pereżempju, xi Stati Membri għażlu approċċ aktar granulari fl-identifikazzjoni tas-servizzi minn Stati Membri oħra, u dan iwassal għal numri akbar f’dawn l-Istati Membri. Iżda d-data li rċeviet il-Kummissjoni mingħand l-Istati Membri turi b’mod ċar li d-differenzi fin-numri huma wkoll riżultat ta’ inkonsistenzi fl-approċċi magħżula mill-Istati Membri, kif juru l-eżempji tas-sottosetturi tal-elettriku u tat-trasport bil-ferrovija:

Tabella 2: Eżempji illustrattivi tal-approċċi magħżula mill-Istati Membri fl-identifikazzjoni tas-servizzi essenzjali fis-sottosettur tal-elettriku

Table 2 tqabbel uħud mill-modi li bihom l-Istati Membri identifikaw is-servizzi essenzjali fis-sottosettur tal-elettriku. Xi pajjiżi (bħall-Estonja) għażlu intestatura ġenerali ħafna li tippermetti l-identifikazzjoni ta’ bażikament kull operatur li huma jqisu bħala essenzjali fis-sottosettur tal-elettriku. Pajjiżi oħra (bħall-Portugall, id-Danimarka u l-Bulgarija) għażlu approċċ aktar granulari. Pereżempju l-Bulgarija ħejjiet lista estremament dettaljata tas-servizzi, li tinkludi wkoll servizz mhux kopert mill-Anness II (is-swieq tal-elettriku). Iżda l-Portugall u d-Danimarka ħaddmu approċċ granulari u jagħżlu li ma jinkludux ċerti servizzi li pajjiżi oħra inkludew. Dan jista’ jwassal għal kundizzjonijiet mhux ekwivalenti ta’ kompetizzjoni bejn l-operaturi tas-servizzi essenzjali fis-suq intern.

Il-lakuni fil-konsistenza, bħal dawk identifikati fi Table 2 , huma r-riżultat ta’ implimentazzjonijiet nazzjonali differenti tad-Direttiva NIS u, fil-każ ta’ setturi li ma jaqgħux taħt l-Anness II (bħas-swieq tal-elettriku), huma konsegwenza tal-approċċ tal-armonizzazzjoni minima tagħha. Għalhekk, il-lakuni fil-konsistenza ma jimplikawx li l-Istati Membri li ma identifikawx servizz partikolari, bilfors naqsu milli japplikaw sew id-dispożizzjonijiet tad-Direttiva.

Table 3 tippreżenta l-approċċi magħżula minn erba’ pajjiżi b’rabta mas-sottosettur tat-trasport bil-ferrovija. Filwaqt li Franza ħejjiet lista dettaljata ħafna u komprensiva tas-servizzi essenzjali għall-funzjonament tat-trasport bil-ferrovija, it-tliet pajjiżi l-oħra għażlu biss subsett żgħir ta’ dawn is-servizzi. Fil-każ tal-Polonja, mhux ċar għalkollox liema servizzi jaqgħu taħt il-kategoriji ta’ “trasport tal-merkanzija bil-ferrovija” u “trasport tal-passiġġieri bil-ferrovija”. Id-deżinjazzjonijiet tagħhom huma tant ġenerali li jistgħu jinkludu wkoll uħud mis-servizzi identifikati minn Franza, bħal “Il-kontroll u l-immaniġġar tat-traffiku ferrovjarju”. Ta’ min jirrimarka li l-Kummissjoni ma għandha l-ebda mezz għad-dispożizzjoni tagħha biex tesplora aktar każijiet bħal dawn: id-Direttiva NIS ma teżiġix li l-awtoritajiet nazzjonali jiddivulgaw informazzjoni li tkun aktar dettaljata.

Tabella 3: Eżempji illustrattivi tal-approċċi magħżula mill-Istati Membri fl-identifikazzjoni tas-servizzi essenzjali fis-sottosettur tat-trasport bil-ferrovija

L-Istati Membri inklużi fi Table 2 u fi Table 3 intgħażlu biss għal skopijiet illustrattivi u għax l-approċċi metodoloġiċi tagħhom jgħinu biex isir paragun faċli. Il-biċċa l-kbira tal-Istati Membri l-oħra għażlu servizzi simili u għalhekk juru “lakuni fil-konsistenza” simili. Fil-fatt jeżistu “lakuni fil-konsistenza” bħal dawk fis-sottosetturi tal-elettriku u tat-trasport bil-ferrovija fl-Istati Membri kollha u fis-setturi inklużi fl-Anness II tad-Direttiva. Il-biċċa l-kbira ta’ din l-inkonsistenza toriġina mis-servizzi identifikati biss fi wħud mill-Istati Membri, iżda mhux f’kollha kemm huma. Il-listi sħaħ tas-servizzi fis-sottosetturi tal-elettriku u tat-trasport bil-ferrovija li jinkludu lill-Istati Membri kollha jinsabu fl-Anness ta’ dan ir-rapport.

2.3Il-limiti

Minkejja li l-biċċa l-kbira tal-Istati Membri japplikaw limiti biex jidentifikaw l-operaturi tas-servizzi essenzjali, ir-rwol li għandhom dawn il-limiti jvarja minn pajjiż għal ieħor. Fir-rigward tal-limiti transettorjali, hu possibbli li jiġu definiti limiti li jiddependu minn

·fattur kwantitattiv wieħed (eż. in-numru tal-utenti li jiddependu minn servizz) biex jiġi ddeterminat jekk entità tridx titqies bħala operatur tas-servizzi essenzjali fi ħdan servizz partikolari,

·sett akbar ta’ fatturi kwantitattivi (eż. in-numru tal-utenti li jiddependu minn servizz flimkien mas-sehem mis-suq),

·kombinazzjoni ta’ fatturi kwantitattivi u kwalitattivi.

Barra minn hekk, id-Direttiva tippermetti lill-Istati Membri japplikaw limiti speċifiċi għas-setturi flimkien ma’ dawk transettorjali. Dan jagħti aktar libertà lill-awtoritajiet nazzjonali fil-proċess tal-identifikazzjoni biex iqisu l-ispeċifiċitajiet nazzjonali u settorjali. Fl-istess ħin, dan jagħti lok għal taħlita kumplessa ħafna ta’ limiti, li tista’ tħalli impatt negattiv fuq il-konsistenza ġenerali tal-identifikazzjoni tal-operaturi tas-servizzi essenzjali.

Eżempju ta’ din id-diversità tal-approċċi hu pprovdut fi Table 4 . Dan juri li l-limiti magħżula mill-Istati Membri fis-settur tal-Infrastruttura Diġitali mhux biss ivarjaw b’mod kwantitattiv (pereżempju, fil-Ġermanja, il-fornituri tad-DNS huma identifikati bħala operaturi tas-servizzi essenzjali jekk ikunu jiġġestixxu mill-inqas 250 000 dominju, filwaqt li l-Polonja ffissat limitu ta’ 100 000 dominju biss), iżda jvarjaw ukoll b’mod kwalitattiv (pereżempju “in-numru tas-sistemi awtonomi konnessi” vs. “is-sehem mis-suq”).

Waħedhom, il-limiti kwantitattivi magħżula b’mod konsistenti ma jiżgurawx konsistenza sħiħa bejn l-approċċi nazzjonali. Minħabba l-fatt li f’xi Stati Membri, il-limiti huma biss wieħed mill-kriterji użati għall-identifikazzjoni tal-operaturi tas-servizzi essenzjali, l-eżiti tal-proċess tal-identifikazzjoni xorta jistgħu jkunu differenti ħafna, anki fil-preżenza ta’ limiti simili. Pereżempju, xi Stati Membri jużaw sistemi kumplessi tal-punteġġ b’diversi fatturi inkorporati f’formula waħda 12 . Fost l-oħrajn, dawn il-fatturi jistgħu jinkludu d-dipendenza ta’ entità fuq in-networks u s-sistemi tal-informazzjoni jew uħud mill-fatturi msemmija fl-Artikolu 6(1) tad-Direttiva NIS. Barra minn hekk, xi Stati Membri ma jużawx limiti jew inkella jużaw biss limiti fil-fażi preliminari tal-valutazzjoni. Dawn il-kunsiderazzjonijiet huma validi mhux biss għas-settur tal-Infrastruttura Diġitali iżda anki fost is-setturi kollha inklużi fl-Anness II.

L-iffissar tal-limitu t-tajjeb jista’ jkun diffiċli, speċjalment fejn jidħlu s-setturi kkaratterizzati mill-eżistenza ta’ ħafna operaturi żgħar. Eżempju ta’ din id-diversità hu l-ħafna faċilitajiet tal-kura tas-saħħa fuq skala żgħira (pereżempju, kliniċi jew servizzi mediċi ta’ emerġenza), li jipprovdu servizz essenzjali għal għadd relattivament baxx ta’ utenti iżda li n-nuqqas ta’ disponibbiltà tagħhom, ikkawżat minn inċident taċ-ċibersigurtà, jista’ jwassal għal mewt tal-pazjenti. Problema oħra tinqala’ meta l-funzjonament tal-ktajjen tal-provvista jkun jiddependi fuq servizzi provduti minn operaturi li jikkostitwixxu links żgħar, iżda essenzjali, fil-katina (pereżempju, f’setturi bħal-loġistika 13 ). Stat Membru wieħed qed jesplora l-użu tal-kriterji relatati mal-importanza jew mal-kritikalità tas-servizz ipprovdut bħala soluzzjoni potenzjali għal din il-problema.

Tabella 4: Limiti magħżula minn 16-il Stat Membru fis-settur tal-Infrastruttura Diġitali

2.4In-numru tal-operaturi identifikati

Il-listi tas-servizzi essenzjali u l-limiti huma l-aktar fatturi determinanti importanti għal identifikazzjoni konsistenti tal-operaturi tas-servizzi essenzjali. It-taqsimiet preċedenti wrew li fiż-żewġ każijiet, l-Istati Membri applikaw id-dispożizzjonijiet tad-Direttiva NIS b’diversi modi, u aktarx dan jista’ jwassal għal problemi tal-konsistenza meta aktar tard jiġu identifikati l-operaturi tas-servizzi essenzjali. Din it-taqsima se tqabbel in-numri tal-operaturi identifikati fis-setturi u fis-sottosetturi tal-Anness II fl-Istati Membri.

Figura 3: L-operaturi tas-servizzi essenzjali identifikati mill-Istati Membri fis-setturi kollha fl-Anness II (għal kull 100 000 abitant, outliers u data nieqsa mħollija barra għaċ-ċarezza)

In-numri totali tal-operaturi tas-servizzi essenzjali rrapportati lill-Kummissjoni mill-Istati Membri jvarjaw minn 20 sa 10 897 b’medja ta’ 633 operatur tas-servizzi essenzjali għal kull Stat Membru (in-numri għall-Istati Membri kollha jinsabu fit-Taqsima 4.2 tal-Anness tar-rapport preżenti). B’mod ġenerali, hemm relazzjoni pożittiva ċara bejn id-daqs ta’ pajjiż u n-numru tal-operaturi identifikati. Iżda dan ma jispjegax biżżejjed id-differenzi kbar fin-numri rrapportati mill-Istati Membri. Biex titqies ir-relazzjoni bejn id-daqs u l-popolazzjoni, Figure 3 tqabbel in-numri tal-operaturi tas-servizzi essenzjali identifikati fl-Istati Membri kollha għal kull 100 000 abitant. Din tissuġġerixxi li l-approċċi meħuda mill-Istati Membri biex jidentifikaw l-operaturi taw riżultati differenti ħafna.

Studju aktar fil-fond tas-setturi u tas-sottosetturi jiżvela differenzi sinifikanti bejn l-Istati Membri fin-numri identifikati fis-setturi kollha koperti mill-Anness II ( Figure 4 ). Pereżempju, fis-settur tal-Enerġija, in-numru jvarja minn 0,3 operatur għal 29 operatur għal kull 1 000 000 abitant. In-numri fis-settur bankarju jvarjaw minn 0,07 operatur għal 51 operatur għal kull 1 000 000 abitant (filwaqt li ma jitqisux l-Istati Membri li ma identifikawx operatur wieħed tas-servizzi essenzjali f’dak is-settur).

Figura 4: In-numru tal-operaturi tas-servizzi essenzjali identifikati minn 25 Stat Membru f’kull settur u sottosettur (għal kull 1 000 000 abitant, fuq skala logaritmika, outliers imħollija barra għaċ-ċarezza). Kull punt tad-data jirrappreżenta n-numru tal-operaturi tas-servizzi essenzjali identifikati minn Stat Membru fis-(sotto)settur rispettiv. 14

2.5L-applikazzjoni tad-Direttiva għal setturi oħra għajr dawk inklużi fl-Anness II

Studju tad-data mressqa jiżvela li 11 minn 28 Stat Membru identifikaw servizzi essenzjali f’setturi li ma jaqgħux fil-kamp ta’ applikazzjoni tal-Anness II tad-Direttiva. Minn dawn il-11-il Stat Membru, 7 identifikaw total ta’ 157 operatur tas-servizzi essenzjali li jipprovdu servizzi li mhumiex koperti mit-tipi ta’ entitajiet fl-Anness II.

Tabella 5: Is-setturi magħżula mill-Istati Membri flimkien ma’ dawk elenkati fl-Anness II

L-infrastrutturi tal-informazzjoni (identifikati minn ħames Stati Membri), is-servizzi finanzjarji pprovduti minn entitajiet mhux elenkati fl-Anness II (identifikati minn erba’ Stati Membri) u s-servizzi tal-gvern (identifikati minn erba’ Stati Membri) huma l-aktar kategoriji popolari ( Table 5 ).

Fid-dawl ta’ kemm ir-reżiljenza ċibernetika hija essenzjali għall-funzjonament tal-ekonomija u s-soċjetà kollha kemm hi, għadd ta’ Stati Membri ddeċidew li jużaw l-opportunità li jkopru setturi għajr dawk elenkati fl-Anness II. Il-fatt li diversi Stati Membri għażlu li japplikaw id-Direttiva NIS għal setturi addizzjonali jqajjem il-mistoqsija dwar jekk il-kamp ta’ applikazzjoni attwali tal-Anness II hux xieraq biex jintlaħaq l-għan li jiġu protetti l-operaturi kollha fl-Unjoni li huma kritiċi għas-soċjetà u għall-ekonomija.

2.6Il-proċedura tal-konsultazzjoni transfruntiera

L-Artikolu 5(4) tad-Direttiva NIS jeżiġi li l-Istati Membri jidħlu f’konsultazzjoni bejniethom qabel ma jaslu għal deċiżjoni finali rigward l-identifikazzjoni tal-operaturi li jipprovdu servizzi f’aktar minn Stat Membru wieħed. F’Lulju 2018, il-Grupp ta’ Kooperazzjoni ħareġ dokument ta’ referenza biex jgħin lill-Istati Membri jwettqu konsultazzjonijiet transfruntieri xierqa 15 .

Abbażi tal-informazzjoni li waslet, huma biss ftit l-awtoritajiet nazzjonali li għażlu li jikkuntattjaw lill-kontropartijiet tagħhom fi Stati Membri oħra u żewġ Stati Membri biss ikkuntattjaw lil Stati Membri oħra b’mod komprensiv. Barra minn hekk, kienu biss ftit l-Istati Membri li indikaw li kkuntattjaw lil awtoritajiet oħra b’mod inqas sistematiku. Minkejja l-importanza kbira tas-servizzi transfruntieri fis-suq intern, il-biċċa l-kbira tal-Istati Membri li kkuntattjaw lil Stati Membri oħra għamlu dan biss għal għadd limitat ħafna ta’ operaturi. Minkejja l-użu limitat tal-proċedura mill-Istati Membri, ħafna awtoritajiet nazzjonali esprimew interess fil-proċess tal-konsultazzjoni transfruntiera u jqisuh element importanti tal-qafas tal-identifikazzjoni tan-NIS. Fil-fatt, diversi Stati Membri esprimew tħassib li mingħajr konsultazzjoni transfruntiera effettiva, l-operaturi jistgħu jiġu mġiegħla jittrattaw numru kbir ta’ rekwiżiti regolatorji differenti jew isibu ruħhom fi żvantaġġ fil-konfront ta’ operaturi tas-servizzi essenzjali oħra regolati b’mod inqas strett fis-suq.

Flimkien mal-awtoritajiet nazzjonali, il-Kummissjoni identifikat diversi raġunijiet għaliex il-proċedura tal-konsultazzjoni sal-lum mhix qed tintuża kif kien maħsub:

·Ħafna Stati Membri ħadu aktar żmien biex jidentifikaw l-operaturi tas-servizzi essenzjali tagħhom milli kien mistenni. Għalhekk, l-adottanti bikrin ħassew li ma jistgħux jikkonsultaw lil dawk il-pajjiżi.

·In-nuqqas ta’ mezzi siguri għat-trasferiment tal-informazzjoni: xi Stati Membri esprimew nuqqas ta’ rieda li jikkomunikaw mal-kontropartijiet tagħhom, filwaqt li jqisu l-ismijiet tal-operaturi bħala informazzjoni kklassifikata.

·In-numru konsiderevoli ta’ dipendenzi transfruntieri eżistenti, li wasslu għall-ħtieġa li jiġu kkuntattjati numru sinifikanti ta’ Stati Membri kkonċernati, speċjalment fil-każ ta’ operaturi pan-Ewropej.

·In-nuqqas ta’ fehim komuni tal-għanijiet u l-ambitu tal-eżerċizzju tal-konsultazzjoni transfruntiera: filwaqt li xi Stati Membri jqisuh sempliċiment bħala għodda biex jinfurmaw lil xulxin dwar l-identifikazzjonijiet tal-operaturi tas-servizzi essenzjali b’impatt transfruntier, oħrajn iqisu li l-iskop tiegħu hu li jallinja l-limiti u r-rekwiżiti regolatorji. Il-premessa 24 tad-Direttiva tissuġġerixxi li fuq kollox din hi proċedura biex tiġi vvalutata b’mod konġunt il-kritikalità ta’ operatur għall-fini tal-proċess tal-identifikazzjoni.

·Problema oħra tqum meta Stat Membru jiġi kkuntattjat minn żewġ Stati Membri oħra fir-rigward tal-istess operatur. F’każ bħal dan, jista’ jkun li l-Istat Membru kkonċernat ma jkunx jista’ jallinja r-regoli tiegħu maż-żewġ Stati Membri fl-istess ħin. Għal dan il-għan, il-Premessa 24 tipprevedi diskussjonijiet multilaterali. Hu importanti li l-Istati Membri jagħmlu użu minn din il-possibbiltà biex jiżguraw il-konsistenza.

2.7Il-kunsiderazzjoni tal-prinċipju lex specialis fil-proċess tal-identifikazzjoni

Il-Kummissjoni identifikat ċertu livell ta’ inkonsistenza fost l-Istati Membri fir-rigward tal-applikazzjoni tal-prinċipju lex specialis. Dan wassal għal applikazzjoni irregolari tad-Direttiva, u minn naħa wassal għal identifikazzjoni tal-operaturi tas-servizzi essenzjali fejn japplikaw regoli speċifiċi għas-settur u, min-naħa l-oħra, wassal għal identifikazzjoni insuffiċjenti tal-operaturi tas-servizzi essenzjali f’xi setturi tal-Anness II.

L-Artikolu 1(3) jistipula li d-Direttiva NIS ma tapplikax għal impriżi soġġetti għar-rekwiżiti tad-Direttiva Qafas dwar it-Telekomunikazzjoni 16 . Iżda jidher li xi Stati Membri identifikaw operaturi tas-servizzi essenzjali li jipprovdu servizzi li fil-fatt jenħtieġ jiġu regolati skont id-Direttiva Qafas dwar it-Telekomunikazzjoni, bħall-aċċess għall-internet u s-servizzi tat-telefonija.

Barra minn hekk, skont l-Artikolu 1(7), id-dispożizzjonijiet tad-Direttiva NIS dwar ir-rekwiżiti tas-sigurtà u n-notifika tal-inċidenti ma japplikawx għall-operaturi li huma diġà regolati minn atti legali tal-Unjoni speċifiċi għas-setturi li jistabbilixxu obbligi ta’ mill-inqas effett ekwivalenti.

Filwaqt li l-biċċa l-kbira tal-Istati Membri identifikaw operaturi tas-servizzi essenzjali fis-setturi tas-swieq bankarji u finanzjarji, ftit mill-Istati Membri ma identifikaw l-ebda operatur tas-servizzi essenzjali, filwaqt li sostnew li l-operaturi qed jipprovdu servizzi koperti minn leges speciales.

Il-Kummissjoni għadha fil-proċess li tiġbor informazzjoni dettaljata dwar l-applikazzjoni tal-prinċipju lex specialis skont id-Direttiva NIS. Bħalissa qed twettaq verifiki profondi tal-leġiżlazzjoni nazzjonali u żjarat fil-pajjiżi, biex tivvaluta l-livell attwali tat-traspożizzjoni u l-implimentazzjoni, inkluż fir-rigward tad-dispożizzjonijiet lex specialis. Fuq dik il-bażi, il-Kummissjoni beħsiebha tiddiskuti aktar il-prinċipju lex specialis fil-Grupp ta’ Kooperazzjoni ħalli jinkiseb allinjament aħjar bejn l-Istati Membri.

3.Konklużjonijiet

Dan ir-rapport jevalwa l-approċċi magħżula mill-Istati Membri biex jidentifikaw l-operaturi tas-servizzi essenzjali skont id-Direttiva NIS. L-għan tiegħu hu li jivvaluta l-livell ta’ konsistenza bejn il-prattiki tal-Istati Membri fid-dawl tal-impatt possibbli tal-qafas attwali fuq il-funzjonament tas-suq intern u l-ġestjoni tar-riskji assoċjati mad-dipendenza ċibernetika.

L-analiżi mwettqa turi li d-Direttiva NIS serviet bħala katalista f’ħafna Stati Membri biex twitti t-triq għal bidla reali fix-xenarju istituzzjonali u regolatorju fir-rigward taċ-ċibersigurtà. Barra minn hekk, l-obbligu li jiġu identifikati l-operaturi tas-servizzi essenzjali wassal għal valutazzjoni komprensiva tar-riskji assoċjati mal-operaturi attivi f’attivitajiet kritiċi u f’networks u sistemi tal-informazzjoni moderni fi kważi l-Istati Membri kollha. Dan jista’ jitqies bħala kisba għall-Unjoni kollha kemm hi f’konformità mal-objettivi tad-Direttiva.

Għall-fini ta’ dan ir-rapport, il-Kummissjoni eżaminat il-metodoloġiji nazzjonali tal-identifikazzjoni, is-servizzi li l-awtoritajiet nazzjonali jqisu bħala essenzjali, il-limiti tal-identifikazzjoni u n-numri tal-operaturi tas-servizzi essenzjali identifikati fid-diversi setturi koperti mid-Direttiva:

·L-Istati Membri żviluppaw varjetà ta’ metodoloġiji f’dak li għandu x’jaqsam mal-approċċ ġenerali għall-identifikazzjoni tal-operaturi tas-servizzi essenzjali (it-Taqsima 2.1), iżda anki fir-rigward tad-definizzjoni ta’ servizzi essenzjali u l-iffissar tal-limiti. Dan jista’ jħalli impatt negattiv fuq l-applikazzjoni konsistenti tad-dispożizzjonijiet tan-NIS madwar l-Unjoni kollha b’konsegwenzi possibbli fuq il-funzjonament tajjeb tas-suq intern u t-trattament effettiv tad-dipendenzi ċibernetiċi.

·Barra minn hekk, jidher li hemm interpretazzjonijiet diverġenti fost l-Istati Membri dwar x’jikkostitwixxi servizz essenzjali skont id-Direttiva NIS, u l-Istati Membri qed japplikaw livelli differenti ta’ granularità (ara t-Taqsima 2.2). Dan jagħmilha diffiċli biex jitqabblu l-listi tas-servizzi essenzjali. Barra minn hekk, il-kamp ta’ applikazzjoni tad-Direttiva qed jirriskja li jiġi frammentat, u xi operaturi qed jiġu esposti għal regolamentazzjoni addizzjonali (għax jiġu identifikati mill-Istat Membru rispettiv tagħhom), filwaqt li oħrajn li jipprovdu servizzi simili jibqgħu esklużi (għax ma jiġux identifikati). Biex jiġu indirizzati dawn l-inkonsistenzi, hemm bżonn aktar ħidma bbażata fuq l-esperjenza tal-Istati Membri biex tkun tista’ tinħoloq lista aktar allinjata tas-servizzi essenzjali.

·Barra minn hekk, ir-rapport sab ukoll inkonsistenzi sinifikanti fil-mod kif jiġu applikati l-limiti mill-Istati Membri (it-Taqsima 2.3). Aktar allinjament tal-limiti fil-livell tal-UE jista’ jgħin biex tittaffa din il-problema. Din il-ħidma tista’ ssir, pereżempju, minn flussi ta’ ħidma settorjali fil-Grupp ta’ Kooperazzjoni, billi jitqiesu l-ispeċifiċitajiet nazzjonali, bħar-rekwiżiti speċjali tal-Istati Membri żgħar.

·Il-fatt li xi pajjiżi għamlu użu mill-possibbiltà li jidentifikaw servizzi essenzjali f’setturi jew sottosetturi addizzjonali lil hinn minn dawk koperti mill-Anness II jenfasizza li hemm setturi oħra li huma potenzjalment vulnerabbli għal inċidenti ċibernetiċi minn kif ikkunsidrat mid-Direttiva NIS (it-Taqsima 2.5). L-identifikazzjoni tal-operaturi tas-servizzi essenzjali f’setturi, bħall-infrastrutturi tal-informazzjoni, is-servizzi finanzjarji mhux koperti mill-entitajiet elenkati fl-Anness II u l-gvern tista’ ttejjeb ir-reżiljenza ċibernetika tal-organizzazzjonijiet f’dawn is-setturi. Iżda jekk subsett biss tal-Istati Membri jidentifikaw l-operaturi tas-servizzi essenzjali f’setturi bħal dawn, dan jista’ jħalli konsegwenzi negattivi fuq is-suq intern u l-kundizzjonijiet ekwivalenti ta’ kompetizzjoni, li suppost għandhom jiġu żgurati.

Il-ħafna metodoloġiji u l-aqwa prattiki li fasslu l-awtoritajiet nazzjonali għandhom valur partikolari u fil-ġejjieni jenħtieġ jiġu kkunsidrati, pereżempju fil-ħidma tal-Grupp ta’ Kooperazzjoni u fl-identifikazzjoni kontinwa tal-operaturi tas-servizzi essenzjali mill-Istati Membri. Madankollu, il-livell attwali tad-diversità jista’ jħalli impatt negattiv fuq il-kisba tal-għanijiet tad-Direttiva.

Il-Kummissjoni tasal għall-konklużjoni preliminari li, filwaqt li d-Direttiva NIS ħolqot proċess kruċjali li jżid u jtejjeb il-prattiki tal-ġestjoni tar-riskji tal-operaturi f’setturi kritiċi, hemm grad konsiderevoli ta’ frammentazzjoni madwar l-Unjoni kollha fejn tidħol l-identifikazzjoni tal-operaturi tas-servizzi essenzjali. Dan hu parzjalment dovut għat-tfassil tad-Direttiva u parzjalment dovut għall-metodoloġiji differenti tal-implimentazzjoni użati mill-Istati Membri.

L-Istati Membri jenħtieġ jipprovaw japplikaw id-dispożizzjonijiet tad-Direttiva NIS b’mod kemm jista’ jkun konsistenti, billi jużaw bis-sħiħ id-dokumenti gwida żviluppati mill-Kummissjoni u mill-Grupp ta’ Kooperazzjoni. Għalhekk, il-Kummissjoni identifikat diversi azzjonijiet nazzjonali li jistgħu jgħinu biex jittaffew il-problemi enfasizzati f’dan ir-rapport:

·Ħafna Stati Membri ma lestewx il-proċess tal-identifikazzjoni tal-operaturi tas-servizzi essenzjali fil-limitu taż-żmien stabbilit mid-Direttiva. Barra minn hekk, fid-data tal-pubblikazzjoni ta’ dan ir-rapport, 23 Stat Membru ssottomettew id-data kollha meħtieġa skont l-Artikolu 5(7). Hemm 5 Stati Membri oħra li pprovdew informazzjoni parzjali. Il-Kummissjoni tħeġġeġ lill-awtoritajiet nazzjonali inkarigati mill-identifikazzjoni biex ilestu l-proċess malajr kemm jista’ jkun u jittrażmettu l-informazzjoni meħtieġa lill-Kummissjoni bl-inqas dewmien possibbli.

·L-awtoritajiet kompetenti jenħtieġ jirrevedu regolarment il-listi tas-servizzi essenzjali tagħhom u jiżguraw li jiġu identifikati s-servizzi essenzjali eżistenti kollha biex jonqos l-għadd ta’ “lakuni fil-konsistenza” fir-rigward tas-servizzi essenzjali fis-suq intern.

·L-Istati Membri jenħtieġ jimpenjaw ruħhom b’mod aktar attiv bejniethom biex jallinjaw il-limiti meta jkun possibbli u speċjalment f’setturi b’dimensjoni transfruntiera soda, bħat-trasport jew l-enerġija. Dan jista’ jinkiseb bil-proċedura tal-konsultazzjoni transfruntiera prevista fl-Artikolu 5(4) tad-Direttiva NIS, iżda anki billi jsir użu aħjar tal-istrutturi eżistenti tal-Grupp ta’ Kooperazzjoni.

·L-awtoritajiet nazzjonali jenħtieġ iwettqu konsultazzjoni bejniethom biex jiżguraw li l-operaturi transfruntieri jkollhom rekwiżiti simili tar-rappurtar dwar is-sigurtà u l-inċidenti fis-suq intern. Barra minn hekk, l-Istati Membri jenħtieġ jikkuntattjaw lil dawn l-operaturi biex jiġbru aktar informazzjoni dwar id-diverġenza regolatorja. Jenħtieġ li r-reżiljenza ċibernetika msaħħa ma twassalx għal frammentazzjoni regolatorja. Meta meħtieġ, l-Istati Membri jenħtieġ jinvolvu ruħhom ukoll f’diskussjonijiet multilaterali, kif previst mill-Premessa 24 tad-Direttiva NIS.

Minbarra l-azzjonijiet nazzjonali, hemm numru ta’ miżuri li potenzjalment jistgħu jittieħdu fil-livell tal-Unjoni u li jwasslu għal aktar konsistenza. Il-Kummissjoni se tniedi diskussjonijiet biex ittejjeb ix-xenarju tal-identifikazzjoni irregolari u xi drabi frammentat. Uħud mill-miżuri potenzjali huma:

·Jenħtieġ jissaħħaħ ir-rwol tal-Grupp ta’ Kooperazzjoni tan-NIS biex jippromwovi fehim komuni dwar kif id-Direttiva tiġi implimentata b’mod aktar konsistenti. Għal dan il-għan, il-Kummissjoni se tipproponi li l-fluss ta’ xogħol apposta eżistenti fuq l-identifikazzjoni tal-operaturi tas-servizzi essenzjali jirrevedi b’ħeffa l-linji gwida tagħha sabiex jiġu indirizzati aħjar l-inkonsistenzi eżistenti. Il-Grupp ta’ Kooperazzjoni jenħtieġ jesplora wkoll il-ħolqien ta’ flussi ta’ xogħol settorjali addizzjonali 17 ħalli tiżdied il-koerenza bejn l-Istati Membri u l-użu ta’ għodda tal-komunikazzjoni mfassla apposta biex titjieb il-kollaborazzjoni fi ħdan il-grupp.

·Huma biss ftit l-Istati Membri li bħalissa qed jużaw il-proċedura tal-konsultazzjoni transfruntiera fejn tidħol l-identifikazzjoni tal-operaturi li qed jipprovdu servizzi essenzjali f’aktar minn Stat Membru wieħed. Biex isaħħaħ l-iskambju tal-informazzjoni, il-Grupp ta’ Kooperazzjoni jenħtieġ jirrevedi d-dokument ta’ referenza tiegħu dwar il-modalitajiet tal-proċess tal-konsultazzjoni f’każijiet b’impatt transfruntier u jaqbel fuq interpretazzjoni konsistenti tal-ambitu, l-objettivi u l-proċeduri ta’ eżerċizzju bħal dan. Fl-istess ħin, il-Kummissjoni se tistħarreġ modi li jippermettu skambju sigur tal-informazzjoni bejn l-awtoritajiet kompetenti.

·Jidher li hemm ċertu grad ta’ inkonsistenza fl-applikazzjoni tad-dispożizzjonijiet tad-Direttiva dwar lex specialis fost l-Istati Membri. Għalhekk, il-Kummissjoni se tuża l-istrutturi tal-Grupp ta’ Kooperazzjoni biex tiddiskuti każijiet meta l-applikazzjoni tal-prinċipju lex specialis tista’ ma tkunx korretta.

L-azzjonijiet meħuda fil-livell tal-Unjoni jenħtieġ jiggarantixxu qafas koerenti, filwaqt li jitqiesu kemm l-attivitajiet settorjali li jipprevedu rekwiżiti speċifiċi jew ogħla fuq iċ-ċibersigurtà, kif ukoll leġiżlazzjoni Ewropea oħra.

4.Annessi

4.1Ħarsa ġenerali lejn id-data disponibbli skont l-Istat Membru

4.2In-numri tas-servizzi u tal-operaturi tas-servizzi essenzjali identifikati minn kull Stat Membru

4.3Is-servizzi identifikati mill-Istati Membri fis-sottosettur tal-elettriku

4.4Is-servizzi identifikati mill-Istati Membri fis-sottosettur tat-trasport bil-ferrovija

(1)

ĠU L 194, 19.7.2016, p. 1.

(2)

Sa Settembru 2019, kien hemm 28 Stat Membru li nnotifikaw traspożizzjoni sħiħa.

(3)

 Komunikazzjoni tal-Kummissjoni lill-Parlament Ewropew u lill-Kunsill: Nagħmlu l-aħjar użu min-NIS – lejn l-implimentazzjoni effettiva tad-Direttiva (UE) 2016/1148 dwar miżuri għal livell għoli komuni ta’ sigurtà tan-networks u tas-sistemi tal-informazzjoni madwar l-Unjoni, COM(2017) 476.

(4)

Il-Grupp ta’ Kooperazzjoni tan-NIS, magħmul mill-Istati Membri, il-Kummissjoni u l-ENISA (l-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà), ħoloq fluss ta’ ħidma separat ħalli jiskambja l-informazzjoni u l-aqwa prattiki dwar l-identifikazzjoni tal-operaturi tas-servizzi essenzjali fost l-Istati Membri.

(5)

Pereżempju f’Mejju 2017, ir-ransomware cryptoworm imsejjaħ WannaCry ħa biss ġurnata waħda biex jinfirex f’aktar minn 150 pajjiż u jinfetta madwar 200 000 kompjuter.

(6)

Skont il-Grupp ta’ Kooperazzjoni tan-NIS, il-ftuħ tas-suq intern għas-servizzi jista’ jwassal għal “riskji u dipendenzi transfruntieri li jaffettwaw b’mod fundamentali d-disponibbiltà, l-integrità u l-kunfidenzjalità ta’ dawn is-servizzi”.

(7)

Skont l-Artikolu 10(3) tad-Direttiva NIS, kull sena, l-Istati Membri għandhom jissottomettu rapport sommarju lill-Grupp bin-notifiki tal-inċidenti li jkunu waslu.

(8)

Eżempju ta’ fattur transettorjali hu l-għadd ta’ utenti li jiddependu fuq servizz jew is-sehem mis-suq li għandha xi entità. Eżempji ta’ fatturi speċifiċi għas-setturi huma l-għadd ta’ sistemi awtonomi konnessi ma’ Punt ta’ Skambju fuq l-Internet (IXP) jew l-għadd ta’ tranżazzjonijiet ta’ istituzzjoni finanzjarja fis-sena.

(9)

L-Awstrija, il-Belġju, il-Greċja, l-Ungerija, ir-Rumanija u s-Slovenja.

(10)

Id-Direttiva tal-Kunsill Nru 2008/114/KE tat-8 ta’ Diċembru 2008 dwar l-identifikazzjoni u l-indikazzjoni tal-Infrastruttura Kritika Ewropea u l-valutazzjoni tal-ħtieġa għat-titjib tal-ħarsien tagħhom. Id-Direttiva għandha l-għan li ssaħħaħ il-ħarsien tal-infrastrutturi kritiċi fis-setturi tal-enerġija u tat-trasport.

(11)

Il-punti identiċi tad-data jiġu pplottjati fuq xulxin. Għaldaqstant, mhux il-28 punt tad-data kollha huma viżibbli fuq il-plots. Pereżempju, 17-il Stat Membru identifikaw eżattament tliet servizzi essenzjali taħt Infrastrutturi Diġitali.

(12)

Pereżempju, Stat Membru wieħed żviluppa seba’ fatturi (erbgħa msejħa “fatturi li jiddependu mill-operatur” u tlieta msejħa “fatturi li jiddependu mill-impatt”) u dawn jiġu inkorporati f’formula waħda. Jekk il-valur finali tal-kalkolu jaqbeż limitu partikolari, l-operatur inkwistjoni jitqies bħala operatur tas-servizzi essenzjali.

(13)

Is-settur tal-loġistika mhux kopert mill-Anness II tad-Direttiva NIS.

(14)

Il-punti identiċi tad-data jiġu pplottjati fuq xulxin. Għaldaqstant, mhux il-25 punt tad-data kollha huma viżibbli fuq il-plots. Pereżempju, kemm id-Danimarka kif ukoll in-Netherlands identifikaw 0,35 operatur tas-servizzi essenzjali għal kull 1 000 000 abitant fis-sottosettur tat-trasport bl-ajru.

(15)

 L-identifikazzjoni tal-Operaturi tas-Servizzi Essenzjali – Dokument ta’ referenza dwar il-modalitajiet tal-proċess tal-konsultazzjoni f’każijiet b’impatt transfruntier, Pubblikazzjoni tal-Grupp ta’ Kooperazzjoni 07/2018.

(16)

Id-Direttiva 2002/21/KE tal-Parlament Ewropew u tal-Kunsill tas-7 ta’ Marzu 2002 dwar kwadru regolatorju komuni għan-networks ta’ komunikazzjonijiet u servizzi elettroniċi.

(17)

Il-flussi ta’ xogħol fuq l-enerġija u fuq l-infrastrutturi diġitali nħolqu f’Ġunju 2018 u f’Lulju 2019.

(18)

Minħabba l-metodoloġija tal-identifikazzjoni tal-Finlandja, ġew identifikati numru kbir ħafna ta’ operaturi tas-servizzi essenzjali fis-settur tas-saħħa.