DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION RÉSUMÉ DU RAPPORT D'ANALYSE D'IMPACT accompagnant le document: Proposition de DIRECTIVE DU PARLEMENT EUROPÉEN ET DU CONSEIL sur la résilience des entités critiques

Résumé de l’analyse d’impact

Analyse d’impact relative à des mesures supplémentaires en faveur de la résilience des infrastructures critiques (point du programme de travail 2020 de la Commission)

A. Nécessité d’une action

Pourquoi? Quel est le problème à résoudre?

La fourniture de services essentiels au moyen d’infrastructures critiques qui sous-tendent des fonctions sociétales ou des activités économiques vitales dans l’Union exige que ces services soient fournis de manière fiable, ce qui signifie que les opérateurs concernés doivent être résilients face aux risques actuels et futurs (tels que les aléas naturels, les actions hybrides, le terrorisme, les incidents causés par un initié, les urgences de santé publique ou les accidents). Le cadre européen qui existe aujourd’hui n’est ni pleinement adapté à l’objectif poursuivi ni résistant à l’épreuve du temps. Malgré l’adoption en 2008 de la directive sur les infrastructures critiques européennes (ICE) et l’adoption d’autres mesures au niveau de l’UE et au niveau national depuis lors, les opérateurs ne sont pas toujours suffisamment équipés pour faire face aux risques créés par un contexte opérationnel de plus en plus complexe, marqué, entre autres, par un paysage évolutif des risques et des interdépendances plus profondes entre les secteurs. La directive sur les ICE, axée sur la protection des éléments d’infrastructure plutôt que sur la résilience des opérateurs, concerne un petit nombre d’infrastructures critiques européennes ayant des implications transfrontières répertoriées dans deux secteurs (l’énergie et les transports). En outre, les approches divergent et des lacunes existent au niveau national, en ce qui concerne la couverture sectorielle, les critères, l’évaluation des risques, l’échange d’informations, etc. Des obstacles au bon fonctionnement du marché intérieur sont ainsi érigés, qui sapent sensiblement la capacité des opérateurs à fournir les services concernés dans l’ensemble de l’Union de manière fiable et sans entrave causée par des restrictions injustifiées.

Quels objectifs cette initiative devrait-elle atteindre?

L’objectif général de l’initiative est d’assurer la continuité de la fourniture de services essentiels dans le marché intérieur en renforçant la résilience des opérateurs d’infrastructures critiques (dénommées dans la proposition les «entités critiques») dans les États membres. Cet objectif général sera atteint en poursuivant les objectifs spécifiques suivants:

·garantir une meilleure compréhension des risques et des interdépendances, ainsi que des moyens d’y faire face;

·veiller à ce que toutes les entités concernées dans tous les secteurs clés soient déclarées critiques par les autorités des États membres;

·faire en sorte qu’un large éventail de démarches permettant de renforcer la résilience soient prises en compte, à la fois dans les mesures adoptées par les pouvoirs publics et dans les pratiques opérationnelles; et

·renforcer les capacités et améliorer la coopération et la communication entre les parties prenantes.

Quelle est la valeur ajoutée d’une action à l’échelle de l’Union?

Une intervention de l’UE se justifie en raison de la nature commune de nombreux risques auxquels sont confrontés les opérateurs d’infrastructures critiques en Europe, qui continuent à devenir de plus en plus interdépendants les uns des autres, et en raison des divergences entre les réglementations nationales en la matière, qui entravent la capacité des opérateurs à fournir leurs services dans le marché intérieur. La nature transnationale de la fourniture de services essentiels signifie que même des perturbations localisées peuvent avoir des répercussions d’envergure à l’échelle européenne, qui ne sauraient raisonnablement être atténuées au moyen d’une action nationale seule. Dans ce domaine, une approche cohérente à l’échelle de l’UE de la gestion des risques, tous aléas confondus, garantirait que tous les opérateurs concernés prennent des mesures appropriées pour renforcer la résilience. Une telle approche permettrait à son tour de garantir une fourniture plus fiable des services essentiels, mais contribuerait également à instaurer des conditions de concurrence plus équitables dans le marché intérieur.

B. Solutions

Quelles sont les options législatives et non législatives envisagées? Y a-t-il une option privilégiée? Pourquoi?

Quatre options ont été envisagées.

L’option 1 prévoit des mesures non législatives volontaires en vue d’encourager des approches plus communes et le partage d’informations, en complément de la directive sur les ICE en vigueur.

L’option 2 implique une révision de la directive sur les ICE existante afin d’aligner la couverture sectorielle sur celle de la directive sur les réseaux et les systèmes d’information (SRI) et d’affiner les critères de sélection et les exigences applicables aux opérateurs d’ICE, par exemple le maintien d’un plan de résilience de l’opérateur. Tant les États membres que les opérateurs d’ICE désignés seraient également tenus de procéder à des évaluations des risques.

En revanche, l’option 3 consiste à remplacer la directive sur les ICE existante par un instrument juridique cadre global, afin de renforcer la résilience des entités critiques au moins dans les secteurs couverts par la directive SRI en vigueur et d’améliorer le fonctionnement du marché intérieur à cet égard. La mise en œuvre serait soutenue par un pôle de connaissances au sein de la Commission. Les États membres seraient tenus de recenser, sur la base d’une évaluation des risques, les entités critiques qui seraient soumises à des obligations différentes de renforcement de leur résilience. Tant les États membres que les entités critiques seraient également tenus de procéder à des évaluations des risques. Une procédure de recensement des entités critiques revêtant une importance européenne particulière serait également prévue, ainsi que certaines règles particulières applicables à ces entités.

L’option 4 comprend tous les éléments décrits dans l’option 3. En outre, la Commission jouerait un rôle plus actif dans la désignation des entités critiques et une agence de l’UE chargée de la résilience des infrastructures critiques serait créée.

Après examen des incidences et de la valeur escomptées de chaque option, l’option privilégiée est l’option 3, qui aboutirait à un cadre de résilience plus complet tenant compte des mesures existantes de l’UE et des spécificités nationales.

Qui soutient quelle option?

Un nombre limité d’États membres et d’opérateurs ont jugé le cadre actuel suffisant et ont exprimé une préférence pour les mesures volontaires prévues dans le cadre de l’option 1. En ce qui concerne l’option 2, un État membre a exprimé sa préférence pour un maintien de l’attention sur les infrastructures critiques européennes sous leur forme actuelle, tandis que d’autres étaient favorables à une révision du concept d’ICE afin de couvrir les infrastructures présentant une dimension européenne manifeste. L’option 3 était préférée par une majorité d’États membres. Les opérateurs étaient les plus favorables aux options 2 et 3. Parmi toutes les options, l’option 4 était la moins privilégiée par les États membres comme par les opérateurs; elle était jugée trop intrusive et rigide, c’est-à-dire qu’elle ne permettrait pas de tenir compte des spécificités sectorielles.

C. Incidence de l’option privilégiée

Quels sont les avantages des options privilégiées (ou, à défaut, des options principales)?

Compte tenu du rôle déterminant que jouent les services essentiels dans la vie des citoyens et de l’économie de l’UE, les acteurs de tous les secteurs économiques, y compris les petites, moyennes et grandes entreprises, bénéficieraient d’une résilience accrue des opérateurs. En plus d’avoir des retombées positives pour les entreprises à titre individuel, les efforts déployés au niveau de l’UE pour garantir la fourniture ininterrompue de services essentiels permettraient également de renforcer la stabilité économique globale et d’améliorer encore l’attrait du marché de l’UE pour les investisseurs.

Outre l’impact économique, les mesures de renforcement de la résilience que comporte l’option 3 s’accompagneraient d’une diminution des perturbations, de conditions de travail plus sûres, ainsi que d’une amélioration de la qualité de vie et de la santé des citoyens de l’Union. En effet, plus la fiabilité de la fourniture de services essentiels augmente, plus la probabilité d’avantages économiques, sociaux, éducatifs, professionnels et récréatifs positifs dans la vie des citoyens s’accroît. Par ailleurs, des efforts supplémentaires déployés pour réduire la fréquence et la gravité des perturbations dans la fourniture des services essentiels auraient également une incidence positive sur l’environnement, dans la mesure où ils garantiraient une utilisation plus efficiente des ressources ainsi que des modes de consommation et de production plus durables dans l’UE.

Quels sont les coûts des options privilégiées (ou, à défaut, sinon des options principales)?

Les principaux coûts pour les États membres concerneraient l’élaboration de stratégies nationales, la réalisation d’évaluations des risques et le recensement des entités critiques, ainsi que la supervision et le contrôle du respect des obligations. Pour ces tâches, les autorités compétentes pourraient toutefois s’appuyer sur les politiques et processus existants, y compris les documents de stratégie, les mécanismes d’évaluation des risques, ainsi que la procédure de désignation prévue dans la directive relative aux réseaux et aux systèmes d’information, comme appui à la mise en œuvre, limitant ainsi les coûts globaux. Dans le même temps, les coûts directs supportés par les entités critiques recensées seraient associés, si nécessaire ou lorsque cela n’est pas encore fait, à la réalisation d’évaluations des risques au niveau des opérateurs, à l’adoption de mesures organisationnelles et/ou techniques appropriées pour renforcer la résilience des opérateurs et à la notification des incidents aux autorités compétentes.

Quelle sera l’incidence sur les entreprises, les PME et les microentreprises?

Parmi les opérateurs sur lesquels les différentes options auront une incidence, les PME devraient être peu nombreuses dans ce cas. Si, dans des secteurs tels que les transports, l’énergie ou l’eau, les acteurs susceptibles d’être désignés comme étant des entités critiques sont généralement des entreprises de moyenne à grande taille comptant des milliers de salariés, les entités critiques d’autres secteurs peuvent être de taille plus réduite. Par exemple, il est concevable que, dans le secteur de la santé, les PME fournissent des services spécifiques, hautement techniques ou spécialisés. Or, les PME qui se trouvent dans cette situation sont sans doute incitées à garantir elles-mêmes un niveau élevé de résilience et/ou sont soumises à des exigences nationales et/ou européennes spécifiques, ce qui limite les coûts supplémentaires liés à l’option privilégiée.

Y aura-t-il une incidence notable sur les budgets nationaux et les administrations nationales?

Certaines incidences sur les autorités compétentes des États membres découleront d’obligations spécifiques, consistant par exemple en des évaluations régulières des risques au niveau national, des stratégies nationales et des mesures de surveillance et de contrôle du respect des obligations. En outre, la nécessité d’apporter un soutien supplémentaire aux opérateurs recensés comme étant des entités critiques afin qu’ils remplissent les obligations découlant de la législation entraînerait certains coûts.

Y aura-t-il d’autres incidences notables?

s.o.

D. Suivi

Quand la législation sera-t-elle réexaminée?

L’évaluation des incidences de l’acte législatif sera entreprise quatre ans après la date limite de mise en œuvre de cet acte, afin de garantir un délai suffisamment long pour évaluer les effets de l’initiative après qu’elle aura été pleinement mise en œuvre dans tous les États membres.