8 Økonomiske og administrative konsekvenser
8.1 Identifisering og utpeking av europeisk kritisk infrastruktur
Det er strenge vilkår for at en infrastruktur skal kunne pekes ut som ”europeisk kritisk infrastruktur” (EKI). I forhold til den oversikten departementet har i dag er det foreløpig ikke registrert infrastrukturer som vil pekes ut som EKI. Infrastruktur som eventuelt vil kunne bli omfattet av disse kravene antas allerede i stor grad å ha regimer som allerede vil oppfylle kravene helt eller delvis gjennom sektorlovgivningen. Den kontakten som har vært på det nordiske nivået innen energi- og transportsektoren tyder på at det ikke blir utpekt EKI i Norden på dette tidspunkt.
8.2 Operatørsikkerhetsplaner
Kravet om å ha en operatørsikkerhetsplan kommer bare til anvendelse på en allerede utpekt europeisk kritisk infrastruktur (EKI). Den enkelte medlemsstat avgjør selv hva som vil være den mest hensiktsmessige fremgangsmåte med hensyn til utforming av sikkerhetsplaner for operatørene, jf. direktivets fortale punkt 11. Hvis den aktuelle eier eller operatør allerede har sikkerhetsplaner eller tilsvarende, og de jevnlig revideres, er det ikke nødvendig å foreta seg ytterligere i forhold til dette kravet.
Departementet har gjennom Spesialutvalget for samfunnssikkerhet fått vurderinger fra Gassco, Norges vassdrags- og energidirektorat (NVE) og Nasjonal sikkerhetsmyndighet (NSM) når det gjelder direktivets økonomiske og administrative konsekvenser for virksomhetene. Både Gassco, NVE og NSM konkluderer med at direktivets krav om operatørsikkerhetsplaner og sikkerhetskontakt i hovedsak er oppfylt i sektorregelverket og at direktivet følgelig vil få begrensede økonomiske og administrative konsekvenser for virksomhetene.
8.3 Sikkerhetskontakt
Kravet om å utpeke en sikkerhetskontakt kommer bare til anvendelse på en allerede utpekt europeisk kritisk infrastruktur (EKI). De føringer som EPCIP-direktivet gir på sikkerhetskontakt vil i stor grad være ivaretatt gjennom allerede etablerte rutiner i aktuelle virksomheter. Det vil være naturlig at for eksempel en virksomhets sikkerhetsleder eller beredskapskoordinator vil kunne fungere som en kontaktperson opp mot sektormyndigheten.
Den enkelte EØS-stat avgjør selv hva som vil være den mest hensiktsmessige fremgangsmåte med hensyn til utpeking av sikkerhetskontakt, jf. direktivets fortale pkt. 13.
Departementet legger således til grunn at EPCIP-direktivets krav ikke vil medføre vesentlige økte kostnader for virksomhetene, da de mest aktuelle virksomhetene allerede i dag er pålagt å ha en sikkerhetskontakt eller lignende i medhold av sektorlovgivningen. Se også vurderingen under pkt. 8.2.
8.4 Rapportering
Kravet om å rapportere kommer bare til anvendelse på en allerede utpekt europeisk kritisk infrastruktur (EKI). Kravet til departementene om å utarbeide en generell rapport om de typer risiko, trusler og sårbarhet som er registrert mot den aktuelle sektor mv. kan medføre noe ekstra administrative kostnader. Det er imidlertid kun en generell og kortfattet rapport som skal utarbeides hvert annet år. Det enkelte departement er ansvarlig for egne beredskapsforberedelser for kriser og katastrofer i fred, sikkerhetspolitiske kriser og krig, og har også ansvar for nødvendig beredskapsplanlegging og eventuell iverksettelse av tiltak i en krisesituasjon. Departementene skal også ha oversikt over kritisk infrastruktur i egen sektor. Rapporteringen vil derfor være en naturlig forlengelse av dette arbeidet.
Departementene skal sende rapportene til den myndighet Kongen utpeker. Kgl.res. 24. juni 2005 tydeliggjør Direktoratet for samfunnssikkerhet og beredskaps (DSB) ansvar for å ha oversikt over sårbarhets- og beredskapsutviklingen i samfunnet. DSB er også tillagt ansvaret for å utarbeide en nasjonal sårbarhets- og beredskapsrapport (NSBR) som grunnlag for videre oppfølgning av sikkerhets- og beredskapsarbeidet på tvers av sektorer og etatsgrenser. Departementet anser det som en naturlig forlengelse av kgl. res. 24. juni 2005 at DSB blir ansvarlig for å skaffe seg et oversiktsbilde fra de ulike sektorene av europeisk kritisk infrastruktur (EKI) for å oppfylle direktivets krav om rapportering. EPCIP-direktivet har en ”all-hazards approach” jf. fortalen punkt 3, og departementet legger til grunn at dette også må gjelde for de vurderinger som skal foretas etter direktivets artikkel 7 om rapportering, jf. § 24 d. Departementet antar at vurderingene etter artikkel 7 kan gjøres i tilknytning til utviklingen av det nasjonale risikobildet samt det årlige NSBR-arbeidet i direktoratet. Departementet ser for seg at DSB foretar den nødvendige sektorovergripende koordineringen– i samråd med sektormyndighetene – og sender en samlet vurdering til Justis- og beredskapsdepartementet. Departementet vil videreformidle disse vurderingene til ESA i kraft av departementets rolle som nasjonalt kontaktpunkt for EPCIP-direktivet.
I og med at rapporteringen gjøres som en forlengelse av det arbeidet som allerede pågår i DSB, antar departementet at forslaget om rapportering til ESA vil få begrensede økonomiske og administrative konsekvenser for DSB.