Novim zakonom do savršene sigurnosti ključnih objekata

[Nikola Milijević, Antun Krešimir Buterin]

Među mnogim obvezama koje Hrvatska ima u sklopu ovoljetnog ulaska u Europsku uniju, u sektoru sigurnosti svakako se ističe nužnost usklađivanja hrvatskog zakonodavstva s europskim propisima koji uređuju pitanje zaštite kritičnih infrastruktura. Pojam je to koji u Hrvatskoj dosad gotovo nije bio korišten, iako sadržajno djelomice obuhvaća ono što mi znamo kao "objekte od značaja za obranu". 
 

Hrvatska mora Unijine dokumente ugraditi u nacionalno zakonodavstvo i primijeniti ih - do ulaska u EU. Ovdje je riječ o dva ključna dokumenta – to su Europski program za zaštitu kritičnih infrastruktura (COM(2005) 576 final) i Direktiva vijeća 2008/114/EZ od 8. prosinca 2008. o određivanju i imenovanju kritičnih infrastruktura u Europi i o procjeni potrebe da se njihova zaštita unaprijedi. 
 

U skladu s time, Vlada je još u lipnju 2010. za potrebe ugradnje te Direktive u nacionalno zakonodavstvo ustrojila međuresornu radnu skupinu koja je zaključila da kritičnu infrastrukturu (KI) u Hrvatskoj treba regulirati zakonom. Zaključak o tome usvojen je u kolovozu 2011., no daljnji su postupak usporili parlamentarni izbori pa je odgovor stigao tek krajem studenoga. 

DUZS je tada napokon dobio suglasnost da može ići prema svim ministarstvima, da radna grupa mora nastaviti rad i sastaviti prijedlog zakona do ljeta 2012. Ali budući da su se nakon izbora promijenili članovi, radna grupa koju čine 22 člana ozbiljnije je počela raditi tek prošloga ljeta. U grupu su uključena praktički sva ministarstva i čitav sigurnosni sektor, uključujući DUZS, UVNS i SOA-u.

Iz te velike grupe složena je - na bazi dobrovoljnosti - uža grupa od desetak ljudi koja je napisala kostur zakona. Velika ga je radna grupa više puta prošla pa je Prijedlog zakona početkom siječnja objavljen na mrežnim stranicama DUZS-a kao podloga za javnu raspravu što je završena početkom veljače. 

Dobro upućeni smatraju da bi se pitanje definiranja nacionalnih KI možda i dalje razvlačilo da Hrvatska nije u obvezi primijeniti propise Unije. Zakon, naime, do 1. srpnja MORA biti u primjeni tako da je u planu da Prijedlog zakona do kraja prvog tromjesečja bude poslan u Sabor, kao bi ga Sabor izglasovao najkasnije u travnju, jer još slijedi rad na podzakonskim aktima. 

Državna uprava za zaštitu i spašavanje kao voditelj projekta mora napraviti opću metodologiju za visoku procjenu ugroženosti i plan zaštite KI, dok će resorna ministarstva morati predložiti koje su to nacionalne KI od interesa za RH. Vlada bi trebala donijeti odluku, utvrditi listu, a ministarstva svoje sektorske kriterije za izradu planova zaštite i kontinuiteta djelovanja. Nakon toga bi normativni dio priče bio praktički gotov i tek bi tada uslijedio pravi posao na određivanju zaštite.
 

S obzirom da je Prijedlog zakona o kritičnim infrastrukturama pripremio DUZS, koji je u siječnju organizirao i jednomjesečnu javnu raspravu, o ovom "kritično" važnom dokumentu i svim novitetima koje on donosi raznim segmentima hrvatskog gospodarstva i društva u cjelini, razgovarali smo sa zamjenikom zapovjednika civilne zaštite RH Damirom Čemerinom koji je u ime DUZS-a na svojim leđima iznio velik dio posla. 

 

Istina, neke države-članice Unije nisu donijele zakone o KI. Direktiva na kojoj temeljimo ovaj Prijedlog zakona jest propis kojeg donosi Komisija ili Europsko vijeće i mora se primijeniti tako da se ugradi u nacionalno zakonodavstvo. Od 27 država- članica njih samo 9-10 ima zakone, osam ih ima uredbe vlade, a neki su ocijenili da im ni to ne treba pa Direktivu primjenjuju kroz postojeće granske zakone - gospodarstva, energetike i sl., ili kroz nacionalne strategije. Upravo države za koje se može reći da su perjanice u zaštiti KI u Europi: Šveđani, Nizozemci i Nijemci, nemaju posebne zakone, već samo nacionalne strategije. Mislim da je to prvenstveno zbog drukčijeg poimanja propisa. Kod nas se strategija shvaća kao politički dokument koji ne obvezuje, dok je u tim državama strategija, ako i jest politički dokument, ujedno i provedbeni i obvezujući. Stvar je, dakle, samo u tome što se strategije u Europi primjenjuju.

To su, primjerice, Francuska, Austrija, Poljska, Češka, Mađarska, Belgija… Riječ je o državama koje su među prvima krenule s definiranjem i zaštitom nacionalne KI krajem ‘90-tih, pa im je to ušlo i u naviku i postalo dio funkcioniranja gospodarstva i zajednice. 

 

Čitali smo i komparirali strano zakonodavstvo, ali se na njih nismo previše oslanjali, osim u dijelu kojem smo htjeli vidjeti na koji su način prenijeli europsku Direktivu. Stvar je u tome što se europska Direktiva u zaštiti KI ne može primijeniti, jer Europa ima čitav paket za zaštitu KI. Kritične su infrastrukture na nacionalnoj razini definirane slijedom obveza u NATO-u. Naime, upravo je NATO prvi 2001. godine donio definiciju nacionalnih KI. Definirao ih je kao infrastrukture, mreže i sustave čiji prekid djelovanja može imati znatan utjecaj na funkcioniranje vlasti, ljudske i ekonomske gubitke, sve do ugrožavanja nacionalne sigurnosti. U odnosu na naš dosadašnji pojam "objekti od interesa za obranu" riječ je o mnogo širem sadržaju, tim više što se koristi riječ "naročito", a ne "isključivo", što znači da popis nije zatvoren. Državama je ostavljeno da same utvrde redoslijed prioriteta i koji su sektori pojedinoj zemlji na prvome mjestu. 

 

I što je pokazala dosadašnja praksa – koji je sektor na samome vrhu?
 

To je bez premca - energetika. Mi smo civilizacija koja bez energije ne može funkcionirati. Dakle, prvo je energetski sektor, drugi su sektor telekomunikacije, a treći je promet jer danas ne možete zamisliti funkcioniranje gospodarstva bez prometa, od cestovnog do pomorskog. Slijede proizvodnja hrane i voda koja obuhvaća i osiguranje vodonosnih slojeva i osiguranje pitke vode, osiguranje od poplava, brane te obranu otpadnih voda, a tu je i financijski sektor. Kad govorimo o telekomunikacijama, u vlastitoj smo praksi imali slučaj prije 5-6 godina kad se HT-u dogodio kvar pa od Karlovca do juga nije bilo telefonije, ni mobitela niti Interneta, što je dovelo do zastoja u bankarstvu i posvuda.

Danas je sve povezano i upravo smo zbog te međuovisnosti KI ranjiviji nego prije. Promet, energetika, financije, hrana, voda.., sve je umreženo i uvezano jedno s drugim, sve o svemu ovisi. To je i najveći problem kritičnih infrastruktura.
 

Jedan od razloga zbog kojeg se kod nas teško iznjedrila potreba za ovakvim zakonom jest činjenica da žurne službe već imaju svoje zakone, gospodarstvo svoje, energetika svoje itd. No, ipak je shvaćeno da postoji potreba za definiranjem zajedničkih minimalnih standarda i uvjeta te da treba naći načina kako za te sektore osigurati specifične uvjete da bi funkcionirali dokle je god to moguće u izvanrednim situacijama. 
 

Normativno gledano, u Hrvatskoj smo još od 1998. govorili o KI u zaštiti i spašavanju, a od 2008. u Pravilniku o metodologiji za izradu procjene ugroženosti planova zaštite i spašavanja decidirano smo propisali da u planovima treba popisati i KI, a nešto smo rekli i na nacionalnoj razini, u Procjeni ugroženosti RH. Mi tu govorimo s aspekta zaštite i spašavanja, tražimo funkcioniranje KI u izvanrednoj situaciji. Govorimo li o prometu i energetici, nakon velike poplave treba zbrinuti više stotina ili više tisuća ljudi. Kad ne bi bilo struje i grijanja, kako bi radili prihvatni centri? Znači, moramo imati hranu, promet, odnosno pravce kretanja za evakuaciju ljudi. Nužno je imati stalnu opskrbu energijom, pitkom vodom, hranom, ali i zdravstvenu skrb jer je i zdravstvo jedna od KI.

Dakle, za izvođenje takve operacije trebamo niz infrastruktura. S druge strane, problem nastaje i ako poplava ugrozi vodocrpilišta. Zato i u provedbi akcija zaštite i spašavanja treba razmišljati o zaštiti infrastrukture. Važna je i zaštita trafo-stanica. Recimo, jeftinije ih je odmah graditi na povišenom terenu, nego poslije popravljati štetu koja se lako mogla izbjeći.

Hrvatska je dosad koristila pojam „objekti od važnosti za obranu“, no čini se da je njegov sadržaj puno uži od novog pojma. Koje su glavne razlike?

Objekti bitni za obranu zemlje objekti su koji se definiraju na zahtjev MORH-a, odnosno u svijetu po NATO-u. To su objekti od interesa za funkcioniranje vojne komponente, dok mi ovdje govorimo o KI važnim za funkcioniranje zajednice, cijelog društva u jednoj državi, pa i u više njih. KI je npr. u energetskom sektoru i naš terminal za ukapljeni naftni plin ili pitanje „Južnog toka“ plinovoda.

Ako govorimo o lancu kritične infrastrukture, danas imamo sustav umrežen u cijelom svijetu. Imali smo 2007. slučaj tehnološkog raspada elektroenergetske mreže na sjeveru Njemačke kod Kiela, kad je zbog iznenadnog preopterećenja mreže bez struje ostalo čak 12 država, među kojima i Hrvatska. Da bi se sustav opet uključio, trebalo je 12 sati – Zagreb je bez struje bio pola sata, Osijek 4 sata, a Njemačka, sjever Francuske i baltičke zemlje cijeli dan.

Bitno je, dakle, ne ovisiti o samo jednom pravcu, jer ste onda talac takve krizne situacije. Zaštitu kritičnih infrastruktura važno je stoga gledati i s političkog aspekta, te imati dobre odnose i sa zemljama koje imaju izvore i sa zemljama preko kojih idu transportni pravci. Velika je prednost Hrvatske što imamo samodostatnost u pitkoj vodi - to je kapital koji će nam ubuduće samo rasti ako ćemo ga dobro čuvati. U tom je smislu i voda - kritična infrastruktura.
 
Koje su najveće prijetnje u Europi kad je u pitanju štićenje KI? Jesu li to ljudi ili priroda? Čega se u Europi više boje i kako pristupaju zaštiti?

Direktiva ECI kaže da prednost u zaštiti, osobito kod europskih KI, treba dati zaštiti od terorizma. U tome je i glavna razlika između Europe i SAD-a, jer Amerikanci gotovo isključivo govore o zaštiti od terorizma zato što su KI posvuda smještene i vidljive. Uostalom, što su bile mete bombaških napada nedavno u Zagrebu? Pruga, cesta, autobusna postaja - dakle promet, infrastruktura, zato što su vidljivi.

Kad analiziramo terorističke napade u svijetu od '70-tih do danas, sve je počelo s otmicama brodova i zrakoplova. A u novije vrijeme? U Londonu – metro i autobus; u Moskvi – metro i aerodrom; u Madridu prigradska željeznica. Uvijek je na meti promet, i to zato što je vidljiv pa kad se nešto dogodi, to svi vide i svi saznaju.  Glede zaštite europskih kritičnih infrastruktura Europa daje prednost zaštiti od terorizma, ali i propisuje da treba dati cjelovit plan zaštite koji će se temeljiti na zaštiti od svih - i prirodnih i antropogenih utjecaja, odnosno ugroza i rizika.

Na koji način EU određuje mjere zaštite, postoji li univerzalni standard za određenu vrstu infrastrukture? I što su to uopće europske KI?

Prije donošenja Direktive ECI, tj. prije definiranja europskih KI te procjene potrebe za njihovom zaštitom iz 2008., tri je godine ranije u Europi pokrenuta rasprava treba li propisivati KI s obzirom da su svi vezani uz NATO, bilo da su članice Saveza ili Partnerstva za mir kao npr. Austrija i Švedska. Iz obveza prema Savezu sve su države definirale nacionalne KI pa je odlučeno kako da nema potrebe da ih europska Komisija opet propisuje.

Međutim, 2006. donesen je dokument „Europski program zaštite kritičnih infrastruktura“ i tad je popisano 15 sektora koji dolaze u obzir kao nacionalne KI u Europi. Temeljem toga je zaključeno da je zaštita KI nacionalna odgovornost. Dakle, svaka se država mora brinuti sama za sebe.

Postavilo se pitanje što je to europsko, zajedničko, pa je rečeno da je nužno definirati i europske KI. Rezultat je toga Direktiva iz 2008. koja kaže da su europske KI - infrastrukture koje su od interesa za najmanje dvije države-članice, ili samo za jednu članicu, ali se nalazi na teritoriju druge države-članice, dakle to je nešto što je izvan vašeg suvereniteta, ali je od vitalnog interesa za vaše funkcioniranje.

Dakle, sada će i Hrvatska preuzeti obvezu određivanja europskih KI na svom teritoriju, ali ćemo dobiti i mogućnost odrediti objekte na teritoriju drugih država koji su od vitalnog interesa za nas?

Upravo tako. Direktivom su zasad definirana tek dva sektora iz kojih se mogu odrediti europske KI - energetika i promet. Radi se i na uvrštavanju telekomunikacija, no postoje velike razlike u nacionalnim definiranjima zaštite telekomunikacija. Iako je taj sektor u cijelom svijetu posve privatiziran, procjenjuje se da će od 2015. ili 2016. treći sektor KI biti telekomunikacije. Zlatno je pravilo da neki objekt ne može biti europska KI ako postoji alternativno rješenje. To, npr., ne može biti most, ako imate još 5-6 mostova.

Propisuje li EU kroz Direktivu nužnu minimalnu razinu zaštite pojedinih objekata KI, ili će to učiniti Hrvatska u ovom zakonu?

Nakon utvrđivanja općih kriterija, slijede sektorski kriteriji koji su specifični. To će morati definirati svako pojedino ministarstvo - i u procjeni kritičnosti i u mjerama zaštite - jer ni tehnologije ni način zaštite nisu jednaki. Jedinstven su kriteriji ljudski gubici i ekonomski gubici, a sve su ostalo specifični kriteriji.

Neki stručnjaci smatraju da je objekte KI opasno ostaviti nezaštićenima, tj. njihovu zaštitu prepustiti odluci osoba u pravnim osobama koje upravljaju tim objektima. Hoće li država sama propisati konkretne mjere zaštite za određene objekte, ili ćete ostaviti slobodan izbor mjera zaštite svakom pojedinom objektu?

Dva su pristupa koja treba povezati. S jedne je strane pristup i interes operatera i vlasnika KI, gdje moramo graditi svijest da je njihov interes tu infrastrukturu zaštititi što je više moguće. S druge strane stoji interes zajednice da osigura opskrbu što je moguće bolje i duže u svim mogućim uvjetima. To je nešto što u svijetu funkcionira po principu javno-privatnog partnerstva, a ovisi o tome tko će koliko i što platiti.

Najjednostavniji je primjer osiguranje električne energije za zdravstvene objekte, za bolnice, kad se traži kontinuirana opskrba bez prekida, no pitanje je tko će platiti dodatnu trafo-stanicu koja bi osigurala taj kontinuitet opskrbe. Tko će, dakle, platiti povećanu razinu zaštite? S te strane treba shvatiti vlasnike i upravitelje KI jer oni to neće htjeti sami platiti.

No tu dolazimo do drugog dijela priče o izgradnji svijesti -  što to znači kod definiranja kritičnosti? Kod sagledavanja rizika za neku KI, u obzir treba uzeti i tu međuovisnost, tko sve ovisi o tom objektu i što će se sve urušiti ako se on uruši. U pitanju su vrlo složeni statistički i matematički izračuni rizika, a kompanije koje to danas rade zarađuju odlično. No ukratko, za svaku mrežu u obzir treba uzeti vjerojatnost kvara na njoj, ali i na svim drugim mrežama o kojima ona ovisi kao i procijeniti sve posljedice koje nastaju kaskadno.

Europa nas je sada, na neki način, natjerala da završimo sve diskusije koje smo godinama vodili, da ih stavimo na papir i napokon primijenimo? 

Otprilike je to tako. Što se prijedloga Zakona tiče, očekujem da će se on u Saboru naći do kraja ožujka te da ćemo najkasnije u svibnju imati podzakonske akte. Tada bi Vlada definirala i sve sektore nacionalnih KI, što su u Europi u pravilu također radile vlade. Zatim će svako ministarstvo u vlastitom sektoru definirati koje su to KI, i zatim će krenuti slaganje prioriteta. U cijelom su svijetu broj 1. energetika, broj 2. promet, treće su telekomunikacije, zdravstvo itd. U Norveškoj je, primjerice, broj 1. energetika, a broj 2. proizvodnja nafte i plina.

Znači li to da bi Hrvatska možda među nacionalnu KI po toj logici mogla uvrstiti i turizam kao naš specifičan, ali iznimno važan sektor?

Iako se o tome već raspravljalo, takva je odluka na Vladi. Međutim, nacionalna KI svakako mogu biti energetika, prometnice, opskrba hranom…, o čemu ovisi naš turizam. Među sektorima KI u svijetu se, primjerice, nalaze i nacionalni spomenici i neke druge vrijednosti.
 

Na koji se način procjenjuju rizik, kritičnost i zaštita nekog objekta?
Za procjenu rizika postoji vrlo jasna metodologija koja ide u tri koraka. Prvo su ljudski gubici, dakle broj poginulih moguć zbog kvara, oštećenja ili uništenja infrastrukture, bilo nakon terorističkog napada ili tehnološkog kvara. Drugi su korak ekonomski gubici, uključujući utjecaj i štete u okolišu, a treći je pitanje uloge i važnosti te infrastrukture u javnosti. Mi smo u zakonu propisali da se u procjenjivanju rizika i kritičnosti mora ići točno tim redoslijedom, jer to pravilo vrijedi i u Europi. Za primjenu Direktive ECI važno je i to da vi europske KI na svom teritoriju ne možete štititi drukčije od načina na koji štitite nacionalne KI. Svaka država mora, dakle, najprije imati normativni okvir za određivanje, procjenu kritičnosti i mjere štićenja nacionalne KI koje onda jednostavno mora primijeniti na štićenje europske KI.
 

Hoće li tu biti novog posla za industriju sigurnosti, privatnu ili javnu, policiju, zaštitare?

Objekti KI već su obuhvaćeni sustavima fizičke i tehničke zaštite, ali će se sigurno tražiti kvalitetniji pristup. Dvije su stvari bitne: svaki vlasnik ili upravitelj KI morat će napraviti sigurnosni plan koji će pregledavati resorno ministarstvo. Mi ćemo kao struka gledati sigurnosni dio - zaštitu od ljudskih i ekonomskih gubitaka te utjecaj u javnosti. Plan zaštite mora biti i resorni, tj. mora poštivati tehnologiju. Jedan je dio briga o kvaliteti jer je nužna veća razina redovite zaštite, i tjelesne i tehničke, a drugi su dio pojačane mjere zaštite.

Što i kako ih provesti? U Europi je prioritet zaštita od terorizma, no nisam siguran da to znači da će trafostanice čuvati policija. To se u svijetu ne radi. Eto dodatnog posla za zaštitarsku službu jer ako se javi pojačano zanimanje za zaštitu objekata, industrija zaštite morat će brzo osmisliti nove, prikladnije  mjere zaštite. Po mome mišljenju tu se otvara prostor za nešto što nije osobito vidljivo, a to je konzalting u gradnji i lociranju, povezanost svih dijelova sustava.  To je nešto što kod nas još nije zaživjelo u praksi pa bi trebalo početi mijenjati naš "mentalni sklop".

Ovo nam je pitanje stiglo u redakciju - može li se stranim zaštitarskim tvrtkama zabraniti da štite nacionalnu KI?

Ulazimo u EU, na jedinstveno tržište, što znači da svatko može raditi u Hrvatskoj nakon što tu registrira podružnicu. Toga trenutka to postaje hrvatska tvrtka. Uostalom, postoje propisi o čuvanju tajnih podataka koji vrijede za sve tvrtke, bez obzira tko im je vlasnik.
 

Neki seizmolozi, o čemu pišemo i u ovom broju, upozoravaju da Hrvatska treba provesti seizmološko testiranje objekata kritične infrastrukture kao što su bolnice, policijske i vatrogasne postaje, DUZS-ovo sjedište…, osobito one smještene u starijim zgradama?

Mi smo u procjenama ugroženosti tražili da se definira status stambenog i poslovnog fonda. Naime, sve su bolnice i druge zdravstvene ustanove, osim novog dijela KBC-a Rebra i KBC-a Dubrava u Zagrebu, građeno prije '50-tih godina, odnosno prije 1964. otkad imamo Pravilnik o građenju seizmički otporne gradnje. Dakle, i za kasnije bi interpolacije statičari morali reći jesu li građene tako da doprinose čvrstoći objekta ili su mu dodatno narušile statičku čvrstoću.

Kod škola je problem ojačavanja starih objekata, što je neisplativo jer u školi za 400-600 učenika to čini 85 posto vrijednosti objekta. Jeftinije je stoga sagraditi novu školu, a upravo se to čini i u Europi, osim ako je riječ o spomenicima. Ipak, ističem da je ta problematika u nadležnosti lokalne uprave, a u Zagrebu je na tome radio Ured za upravljanje u hitnim situacijama.