DOPORUČENÍ KOMISE (EU) 2017/1584

ze dne 13. září 2017

o koordinované reakci na rozsáhlé kybernetické bezpečnostní incidenty a krize

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 292 této smlouvy,

vzhledem k těmto důvodům:

Incident v oblasti kybernetické bezpečnosti lze považovat za krizi na úrovni Unie v případě, že je narušení způsobené daným incidentem příliš rozsáhlé na to, aby se s ním dotčený členský stát vypořádal sám, nebo pokud se dotýká dvou nebo více členských států a má tak rozsáhlý technicky nebo politicky významný dopad, že to vyžaduje rychlou koordinaci a reakci na politické úrovni EU.

Ve sdělení z roku 2016 „Posílení evropského systému kybernetické odolnosti a podpora konkurenceschopného a inovativního odvětví kybernetické bezpečnosti“ (2) byly členské státy vybídnuty, aby co nejvíce využívaly mechanismy spolupráce podle směrnice o bezpečnosti sítí a informací (3) a aby posílily přeshraniční spolupráci, pokud jde o připravenost na rozsáhlý kybernetický bezpečnostní incident. Dále v něm bylo uvedeno, že koordinovaný přístup ke krizové spolupráci mezi jednotlivými prvky kybernetického ekosystému, který má být stanoven v plánu, by vedl ke zvýšení připravenosti a že takový plán by měl zároveň zajistit součinnost a soulad se stávajícími mechanismy řešení krizí.

Spolupráci mezi členskými státy v reakci na kybernetické bezpečnostní incidenty na technické úrovni zajišťuje síť týmů typu CSIRT zřízená podle směrnice o bezpečnosti sítí a informací. Agentura ENISA zajišťuje sekretariát sítě a aktivně podporuje spolupráci mezi týmy typu CSIRT. Vnitrostátní týmy typu CSIRT a CERT-EU spolupracují a vyměňují si informace na dobrovolném základě, a pokud je to nezbytné, i v reakci na kybernetické bezpečnostní incidenty, které zasáhnou jeden nebo více členských států. Na žádost zástupce týmu typu CSIRT z některého členského státu mohou jednat o koordinované reakci na incident, který byl zjištěn v oblasti spadající do pravomoci tohoto členského státu, a pokud možno se na ní shodnout. Příslušné postupy budou stanoveny ve standardních operačních postupech sítě týmů typu CSIRT (8) .

Aby bylo možné přijímat informovaná rozhodnutí, je zcela zásadní využívat hlášení, hodnocení, výzkum, šetření a analýzy, tedy mít informace o aktuální situaci, akutních nebezpečích a hrozbách a rozumět jim. Tato „informovanost o situaci“ – u všech relevantních zúčastněných stran – je pro účinnou koordinovanou reakci nepostradatelná. Mezi informace o situaci patří i znalosti o příčinách, dopadu a původu incidentu. Má se za to, že to závisí na výměně a sdílení informací mezi příslušnými stranami ve vhodném formátu za použití společného názvosloví pro popis incidentu a s využitím náležitě zabezpečených způsobů.

Skutečnost, že oblast hrozeb se neustále vyvíjí, a nedávné kybernetické bezpečnostní incidenty jsou známkou rostoucího rizika, jemuž Unie čelí. Členské státy by měly jednat na základě tohoto doporučení bezodkladně a v každém případě do konce roku 2018,

PŘIJALA TOTO DOPORUČENÍ:

Členské státy a orgány EU by měly vytvořit rámec EU pro reakci na kybernetické bezpečnostní krize, který by zahrnoval cíle a způsoby spolupráce představené v plánu, jež se budou řídit hlavními zásadami, které jsou v plánu popsány.

Rámec EU pro reakci na kybernetické bezpečnostní krize by měl zejména určit zúčastněné subjekty, orgány EU a orgány členských států na všech potřebných úrovních – technické, provozní i strategické či politické – a v případě potřeby obsahovat standardní operační postupy, které vymezí způsob, jakým tyto zúčastněné subjekty spolupracují v rámci mechanismů EU pro řešení krizí. Důraz by měl být kladen na výměnu informací bez zbytečného odkladu a koordinování reakce během rozsáhlých kybernetických bezpečnostních incidentů a krizí.

Za tímto účelem by příslušné orgány členských států měly spolupracovat na dalším upřesnění protokolů pro sdílení informací a spolupráci. Skupina pro spolupráci by si měla vyměňovat zkušenosti v těchto otázkách s příslušnými orgány EU.

Pokud jde o stávající mechanismy EU pro řešení krizí, v souladu s plánem by členské státy měly společně s útvary Komise a s ESVČ stanovit praktické prováděcí pokyny, pokud jde o integraci jejich vnitrostátních subjektů a postupů pro řešení krizí a kybernetické bezpečnosti do stávajících mechanismů EU pro řešení krizí, zejména opatření IPCR a mechanismu ESVČ pro reakce na krize. Zejména by členské státy měly zajistit zavedení vhodných struktur umožňujících efektivní tok informací mezi jejich vnitrostátními orgány pro řešení krizí a jejich zástupci na úrovni EU v souvislosti s mechanismy EU pro řešení krizí.

Členské státy by s pomocí agentury ENISA a v návaznosti na předchozí úsilí v této oblasti měly spolupracovat na vypracování a přijetí společného názvosloví a šablony pro situační zprávy, které popisují technické příčiny a dopady kybernetických bezpečnostních incidentů, s cílem dále zlepšit vzájemnou technickou a operativní spolupráci během krizí. V tomto ohledu by členské státy měly vzít v úvahu probíhající činnost skupiny pro spolupráci na vývoji pokynů pro hlášení incidentů, a zejména aspekty týkající se formátu národních hlášení.

Postupy stanovené v tomto rámci by měly být vyzkoušeny a v případě potřeby přezkoumány na základě poznatků získaných z účasti členského státu na cvičeních kybernetické bezpečnosti na vnitrostátní, regionální a unijní úrovni, jakož i na úrovni kybernetické diplomacie a NATO. Zejména by měly být vyzkoušeny v rámci cvičení CyberEurope organizovaných agenturou ENISA. Cvičení CyberEurope v roce 2018 je první takovou příležitostí.

(1) Závěry Rady o ochraně kritické informační infrastruktury – „Dosažené výsledky a další kroky: směrem ke globální kybernetické bezpečnosti“, dokument 10299/11, Brusel, 27. května 2011.

(2) COM(2016) 410 final ze dne 5. července 2016.

(3) Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).

(4) Dokument 14540/16, 15. listopadu 2016.

(5) Další informace lze nalézt v oddíle 3.1 dodatku o řešení krizí, mechanismech spolupráce a aktérech na úrovni EU.

(6) Tamtéž.

(7) Rozhodnutí Rady 2014/496/SZBP ze dne 22. července 2014 o aspektech zavádění, provozu a využívání evropského globálního družicového navigačního systému majících dopad na bezpečnost Evropské unie a o zrušení společné akce 2004/552/SZBP (Úř. věst. L 219, 25.7.2014, s. 53).

(8) V přípravě; měly by být přijaty do konce roku 2017.

(9) Pokyny mají být vypracovány do konce roku 2017.

(10) Závěry Rady o rámci pro společnou diplomatickou reakci EU na nepřátelské činnosti v kyberprostoru („soubor nástrojů pro diplomacii v oblasti kybernetiky“), dokument 9916/17.

(11) Společný pracovní dokument útvarů Komise „Operační protokol EU pro boj proti hybridním hrozbám (EU Playbook)“, SWD(2016) 227 final, 5. července 2016.

(12) Dokument 15283/16, 6. prosince 2016.

PŘÍLOHA

Plán koordinované reakce na rozsáhlé přeshraniční kybernetické bezpečnostní incidenty a krize

ÚVOD

Tento plán se týká kybernetických bezpečnostních incidentů, které způsobují narušení příliš rozsáhlé, aby je dotčený členský stát zvládnul sám, nebo které postihly více než jeden členský stát nebo orgán EU a jejichž dopad technického nebo politického významu je natolik rozsáhlý a významný, že vyžadují včasnou koordinaci politik a reakci na politické úrovni Unie.

Takové rozsáhlé kybernetické bezpečnostní incidenty se považují za kybernetickou bezpečnostní „krizi“.

V případě krize s kybernetickými prvky napříč celou EU provádí koordinaci reakce na politické úrovni Unie Rada s využitím integrovaných opatření pro politickou reakci na krize (opatření IPCR).

V Komisi bude koordinace probíhat v souladu se systémem včasného varování ARGUS.

Pokud má krize významný externí rozměr nebo rozměr společné bezpečnostní a obranné politiky (SBOP), aktivuje se mechanismus ESVČ pro reakce na krize.

Tento plán popisuje, jak by tyto zavedené mechanismy řešení krizí měly naplno využívat stávajících subjektů v oblasti kybernetické bezpečnosti na úrovni EU i mechanismů spolupráce mezi členskými státy.

Plán přitom zohledňuje soubor hlavních zásad (proporcionalita, subsidiarita, komplementarita a důvěrnost informací) a představuje hlavní cíle spolupráce (účinná reakce, sdílení informací o situaci, komunikace s veřejností) na třech úrovních (strategická/politická, operační a technická), mechanismy a zapojené aktéry, jakož i kroky nutné ke splnění uvedených hlavních cílů.

Plán se nezaměřuje na celý životní cyklus řešení krize (prevence/zmírňování, připravenost, reakce, obnova), nýbrž jen na reakci. Některé činnosti, zvláště ty, které souvisí se sdílením informací o situaci, návrh nicméně řeší.

Důležité je zmínit i to, že kybernetické bezpečnostní incidenty mohou stát u zrodu nebo být součástí rozsáhlejší krize s dopadem na jiná odvětví. Vzhledem k tomu, že většina kybernetických bezpečnostních krizí má mít dopad na fyzický svět, musí se jakákoli vhodná reakce spoléhat jak na kybernetická, tak na nekybernetická zmírňující opatření. Činnosti v rámci reakce na kybernetické krize by měly být koordinovány s dalšími mechanismy řešení krizí na úrovni EU, vnitrostátní úrovni či sektorové úrovni.

A konečně je třeba uvést, že tento plán nenahrazuje a neměl by se dotýkat stávajících odvětvových nebo politických mechanismů, opatření nebo nástrojů, jako např. pro program globálního družicového navigačního systému (1).

Hlavní zásady

Při práci na dosažení cílů, určování nezbytných činností a přidělování rolí a odpovědností příslušným aktérům nebo mechanismům byly uplatněny následující hlavní zásady, které je také třeba dodržet při přípravě budoucích prováděcích pokynů.

Proporcionalita: Velká většina kybernetických bezpečnostních incidentů postihujících členské státy spadá výrazně pod úroveň toho, co lze považovat za vnitrostátní, natož evropskou „krizi“. Základ pro spolupráci mezi členskými zeměmi při reakci na takové incidenty představuje síť bezpečnostních týmů pro reakci na počítačové bezpečnostní incidenty (tzv. týmy CSIRT) ustavená směrnicí o bezpečnosti sítí a informací (2). Národní týmy CSIRT spolupracují a dobrovolně si každý den vyměňují informace, mimo jiné, je-li to nutné, i v rámci reakce na kybernetické bezpečnostní incidenty, které postihly více než jeden členský stát, v souladu se standardními operačními postupy (SOP) sítě týmů CSIRT. Plán by měl proto tyto standardní operační postupy využít a měly by reflektovat jakékoli další konkrétní úkoly prováděné v souvislosti s kybernetickou bezpečnostní krizí.

Subsidiarita: Zásada subsidiarity je klíčová. V případě rozsáhlých kybernetických bezpečnostních incidentů nebo krizí majících dopad na členské státy jsou za reakci primárně odpovědné členské státy. Důležitou úlohu však sehrávají také Komise, Evropská služba pro vnější činnost a další orgány, instituce a subjekty EU. Tato úloha je jasně stanovena v opatřeních IPCR, ale pramení rovněž z práva Unie či jen z toho, že kybernetické bezpečnostní incidenty a krize mohou mít dopad na všechny segmenty hospodářské činnosti na jednotném trhu, bezpečnostní a mezinárodní vztahy Unie i na orgány samotné.

Komplementarita: Plán plně zohledňuje stávající mechanismy řešení krizí na úrovni EU, a to integrovaná opatření EU pro politickou reakci na krize (IPCR EU), ARGUS a mechanismus ESVČ pro reakce na krize, začleňuje do nich nové struktury a mechanismy zřízené směrnicí o bezpečnosti sítí a informací, a to síť bezpečnostních týmů CSIRT, jakož i příslušné agentury a instituce, a to Evropskou agenturu pro bezpečnost sítí a informací (ENISA), Evropské centrum pro boj proti kyberkriminalitě při Europolu (Europol/EC3), Středisko EU pro analýzu zpravodajských informací (INTCEN), zpravodajské ředitelství Vojenského štábu EU (EUMS INT), situační středisko (SITROOM) při INTCEN, které pracují společně jako společná zpravodajsko-analytická složka (SIAC); a dále středisko EU pro hybridní hrozby (základnu má v INTCEN) a skupinu pro reakci na počítačové hrozby v orgánech, institucích a jiných subjektech EU (CERT-EU). Tímto způsobem by měl plán rovněž maximalizovat komplementaritu a minimalizovat přesah jejich interakce a spolupráce.

Důvěrnost informací: Veškerá výměna informací v kontextu tohoto plánu se musí řídit příslušnými pravidly o bezpečnosti (3), o ochraně osobních údajů a tzv. „semaforovém protokolu“ (Traffic Light Protocol, TLP) (4). Pro výměnu utajovaných informací musí být bez ohledu na klasifikační schéma použity dostupné akreditované nástroje (5). Při zpracování osobních údajů musí být dodrženy příslušné předpisy EU, a to zejména obecné nařízení o ochraně osobních údajů (6), směrnice o soukromí a elektronických komunikacích (7) a nařízení „o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Unie a o volném pohybu těchto údajů“ (8).

Hlavní cíle

Spolupráce podle tohoto plánu sleduje výše uvedený tříúrovňový přístup – na rovině politické, operační a technické. Na každé z nich může spolupráce zahrnovat výměnu informací i společné kroky a jejím cílem je dosáhnout následujících hlavních cílů.

— Účinná reakce. Reakce může mít mnoho podob, od stanovení technických opatření, což může být to, že dva nebo více subjektů společně vyšetří technické příčiny incidentu (např. analýza malwaru), či určení způsobů, jak mohou organizace zjistit, zda byly zasaženy (např. indikátory narušení), až po operační rozhodnutí o použití těchto opatření a – na politické úrovni – rozhodnutí o spuštění dalších nástrojů v závislosti na typu incidentu, jako je diplomatická reakce EU na kybernetické činnosti se zlým úmyslem („soubor nástrojů pro kybernetickou diplomacii“) nebo operační protokol EU pro boj proti hybridním hrozbám.

— Sdílení informací o situaci. Pro koordinovanou reakci je důležité, aby všichni zainteresovaní aktéři na všech třech úrovních (technické, operační a politické) dostatečně dobře rozuměli tomu, co se děje. K situačním informacím mohou patřit i technologické údaje o příčinách, dopadu a původu incidentu. Protože kybernetické bezpečnostní incidenty mohou mít dopad na mnoho odvětví (finančnictví, energetiku, dopravu, zdravotnictví atd.), je naprosto nezbytné, aby se příslušné informace ve vhodném formátu dostaly včas ke všem příslušným zainteresovaným stranám.

— Dohoda na hlavních sděleních v rámci komunikace s veřejností (9): Krizová komunikace hraje významnou úlohu při zmírňování negativních dopadů kybernetických bezpečnostních incidentů a krizí, lze ji však také využít k ovlivnění chování (případných) útočníků. Vhodné sdělení může tím, že podá jasný signál o pravděpodobných následcích diplomatické reakce, posloužit k ovlivnění chování agresorů. Aby politická reakce byla účinná, je nutné, aby veřejná komunikace s cílem zmírnit negativní dopady kybernetických bezpečnostních incidentů a krizí byla sladěná s veřejnou komunikací s cílem ovlivnit útočníka. Zvláště důležité pro kybernetickou bezpečnost je šíření přesných, vykonatelných informací o tom, jak může veřejnost zmírnit účinky incidentu (např. instalováním záplaty, provedením bezplatně nabídnutých úkonů pro obejití hrozby atd.)

SPOLUPRÁCE MEZI ČLENSKÝMI STÁTY A AKTÉRY ČLENSKÝCH STÁTŮ A EU NA TECHNICKÉ, OPERAČNÍ A STRATEGICKÉ/POLITICKÉ ÚROVNI

Účinná reakce na rozsáhlé kybernetické bezpečnostní incidenty nebo krize na úrovni EU závisí na účinné technické, operační a strategické/politické spolupráci.

Na každé z těchto úrovní by zúčastnění aktéři měli provádět konkrétní činnosti, pokud jde o dosažení tří hlavních cílů:

— koordinovaná reakce,

— sdílení informací o situaci,

— komunikace s veřejností.

V průběhu incidentu nebo krize nižší úrovně spolupráce varují, informují a podporují vyšší úrovně, které pak podle potřeby vydávají pokyny (10) a rozhodnutí nižším úrovním.

Spolupráce na technické úrovni

Rozsah činností:

— řešení incidentu (11) během kybernetické bezpečnostní krize

— monitoring a sledování incidentu včetně průběžné analýzy hrozeb a rizik

Potenciální aktéři

Na technické úrovni je ústředním mechanismem pro spolupráci podle tohoto plánu síť týmů CSIRT, které předsedá předsednictví a které sekretariát poskytuje agentura ENISA.

— Členské státy: — příslušné úřady a jednotná kontaktní místa zřízená podle směrnice o bezpečnosti sítí a informací — týmy CSIRT

— Orgány a instituce EU — ENISA — Europol/EC3 — CERT-EU

— Evropská komise — Středisko pro koordinaci odezvy na mimořádné události (ERCC) (služba s nepřetržitým provozem umístěná v GŘ ECHO) a jmenovaný vedoucí útvar (buď GŘ CNECT, nebo GŘ HOME podle konkrétní povahy incidentu), generální sekretariát (sekretariát ARGUS), GŘ HR (ředitelství pro bezpečnost), GŘ DIGIT (IT bezpečnostní operace) — U ostatních agentur EU (12) odpovídající mateřské generální ředitelství Komise, nebo ESVČ (první kontaktní místo)

— ESVČ — SIAC (společná zpravodajsko-analytická složka: EU INTCEN a EUMS INT) — Situační středisko EU a jmenovaná geografická nebo tematická služba — Středisko EU pro hybridní hrozby (součást EU INTCEN – kybernetická bezpečnost v hybridním kontextu)

Sdílení informací o situaci:

— Jako součást pravidelné spolupráce na technické úrovni na podporu informovanosti Unie o situaci by agentura ENISA měla pravidelně připravovat technickou zprávu EU o situaci v oblasti kybernetické bezpečnosti týkající se incidentů a hrozeb na základě veřejně dostupných informací, svých vlastních analýz a zpráv, které s ní (dobrovolně) sdílejí týmy CSIRT členských států nebo jednotná kontaktní místa podle směrnice o bezpečnosti sítí a informací, Evropské centrum pro boj proti kyberkriminalitě (EC3) při Europolu, skupina CERT-EU a případně Evropské středisko pro analýzu zpravodajských informací (INTCEN) při Evropské službě pro vnější činnost (ESVČ). Zpráva by měla být k dispozici příslušným místům Rady, Komisi, vysoké představitelce/místopředsedkyni Komise a síti týmů CSIRT.

— V případě velkého incidentu připraví předseda sítě týmů CSIRT s pomocí agentury ENISA situační zprávu EU o kybernetickém bezpečnostním incidentu (13), jež se předloží předsednictví, Komisi a vysoké představitelce/místopředsedkyni Komise prostřednictvím týmu CSIRT rotujícího předsednictví.

— Všechny ostatní agentury EU podávají zprávy svému mateřskému generálnímu ředitelství, které dále podává zprávy vedoucímu útvaru Komise.

— Skupina CERT-EU podává technické zprávy síti týmů CSIRT, orgánům a agenturám EU (podle situace) a systému ARGUS (je-li aktivován).

— Europol/EC3 (14) a CERT-EU poskytují odbornou forenzní analýzu technických artefaktů a další technické informace síti týmů CSIRT.

— SIAC ESVČ: Středisko EU pro hybridní hrozby jménem střediska INTCEN podává zprávy příslušným oddělením ESVČ.

Reakce:

— Síť týmů CSIRT si vyměňuje technické detaily a analýzu incidentu, např. IP adresy, indikátory narušení (15) atd. Tyto informace by měly být bez zbytečného prodlení, ale nejpozději do 24 hodin od detekování incidentu hlášeny agentuře ENISA.

— V souladu se standardními operačními postupy sítě týmů CSIRT spolupracují její členové na analýze existujících technických artefaktů a dalších technických informací týkajících se incidentu za účelem stanovení příčiny a možných technických zmírňujících opatření.

— Agentura ENISA pomáhá v souladu se svým mandátem (16) svými odbornými zkušenostmi týmům CSIRT v jejich technické činnosti.

— Týmy CSIRT členských států koordinují svoji činnost v oblasti technické reakce s pomocí agentury ENISA a Komise.

— SIAC ESVČ: Středisko EU pro hybridní hrozby jménem INTCEN spouští proces sběru prvotních důkazů.

Komunikace s veřejností:

— Týmy CSIRT v návaznosti na proces autorizace pro každý jednotlivý případ vypracovávají technická doporučení (17) a výstrahy o zranitelnostech (18) a šíří je mezi odbornou i laickou veřejností ve svých zemích.

— Agentura ENISA usnadňuje tvorbu a šíření společných komunikačních sdělení sítě týmů CSIRT.

— Agentura ENISA koordinuje svoji komunikaci s veřejností se sítí týmů CSIRT a útvarem mluvčího Komise.

— ENISA a EC3 koordinují svoji komunikaci s veřejností na základě sdílení informací o situaci dohodnutého mezi členskými státy. Oba subjekty koordinují svoji komunikaci s veřejností s útvarem mluvčího Komise.

— Pokud má krize externí rozměr nebo rozměr společné bezpečnostní a obranné politiky (SBOP), měla by být komunikace s veřejností koordinována s ESVČ a útvarem mluvčího vysoké představitelky/místopředsedkyně Komise.

Spolupráce na operační úrovni

Rozsah činností:

— Příprava rozhodování na politické úrovni

— Koordinace řízení kybernetické bezpečnostní krize (případně)

— Vyhodnocení následků a dopadu na úrovni EU a návrh možných zmírňujících opatření

Potenciální aktéři

— Členské státy: — příslušné úřady a jednotná kontaktní místa zřízená podle směrnice o bezpečnosti sítí a informací — týmy CSIRT, agentury pro kybernetickou bezpečnost — další vnitrostátní odvětvové orgány (v případě incidentu nebo krize zasahující více odvětví)

— Orgány a instituce EU — ENISA — Europol/EC3 — CERT-EU

— Evropská komise — generální tajemník Generálního sekretariátu (příp. jeho zástupce) (proces ARGUS) — GŘ CNECT/HOME — bezpečnostní orgán Komise — další generální ředitelství (v případě incidentu nebo krize zasahující více odvětví)

— ESVČ — generální tajemník pro reakci na krizi (příp. jeho zástupce) a SIAC (EU INTCEN a EUMS INT) — středisko EU pro hybridní hrozby

— Rada — předsednictví (předseda Horizontální pracovní skupiny pro otázky týkající se kybernetiky nebo COREPER (19)) s podporou Generálního sekretariátu Rady nebo Politického a bezpečnostního výboru (PSC) (20) a – jsou-li aktivována – s podporou opatření IPCR

Informovanost o situaci:

— Podpora přípravy politicko-strategických situačních zpráv (např. zprávy ISAA v případě aktivace opatření IPCR)

— Horizontální pracovní skupina Rady pro otázky týkající se kybernetiky připravuje zasedání COREPER nebo PSC

— V případě aktivace opatření IPCR: — Předsednictví může svolat schůze u kulatého stolu za účelem přípravy zasedání COREPER nebo PSC, na které pozve relevantní aktéry v členských státech, orgány, agentury a třetí strany jako země mimo EU a mezinárodní organizace. Jsou to krizové schůze, na kterých se identifikují slabá místa a vypracovávají návrhy pro průřezové otázky. — Vedoucí útvar Komise nebo ESVČ jako vedoucí ISAA připravuje zprávu ISAA, do které dále přispívají ENISA, síť týmů CSIRT, Europol/EC3, EUMS INT, INTCEN a všichni ostatní relevantní aktéři. Zpráva ISAA je celounijní posouzení založené na korelaci technického posouzení incidentů a krizí (analýza hrozeb, posouzení rizik, netechnické následky a účinky, nekybernetické aspekty incidentu nebo krize atd.), které je připraveno na míru potřebám operační a politické úrovně.

— V případě aktivace ARGUS: — CERT-EU a EC3 (21) přispívají přímo do výměny informací v rámci Komise.

— V případě aktivace mechanismu ESVČ pro reakce na krize: — SIAC zintenzivní sběr informací a sloučí informace ze všech zdrojů a připraví analýzu a posouzení incidentu.

Reakce (na žádost politické úrovně):

— Přeshraniční spolupráce s jednotným kontaktním místem a příslušnými vnitrostátními orgány (směrnice o bezpečnosti sítí a informací) na zmírňování následků a dopadů.

— Aktivace všech technických zmírňujících opatření a koordinace technických opatření nutných k zastavení nebo omezení dopadu útoků na zacílené informační systémy.

— Spolupráce a – pokud o tom bude rozhodnuto – koordinace technických kapacit za účelem společné nebo kolaborativní reakce v souladu se standardními operačními postupy sítě týmů CSIRT .

— Vyhodnocení nutnosti spolupracovat s příslušnými třetími stranami.

— Rozhodování v rámci procesu ARGUS (bude-li aktivován).

— Příprava rozhodnutí a koordinace v rámci opatření IPCR (budou-li aktivována).

— Podpora rozhodování ESVČ prostřednictvím mechanismu ESVČ pro reakce na krize (bude-li aktivován), a to i pokud jde o kontakty se třetími zeměmi a mezinárodními organizacemi a veškerá opatření, jejichž cílem je ochrana misí a operací SBOP a delegací EU.

Komunikace s veřejností:

— Dohoda na sděleních pro veřejnost o incidentu.

— Pokud má krize externí rozměr nebo rozměr společné bezpečnostní a obranné politiky (SBOP), měla by být komunikace s veřejností koordinována s ESVČ a útvarem mluvčího vysoké představitelky/místopředsedkyně Komise.

Spolupráce na strategické/politické úrovni

Potenciální aktéři

— Pokud jde o členské státy, ministři příslušní pro kybernetickou bezpečnost.

— Pokud jde o Evropskou radu, předseda.

— Pokud jde o Radu, rotující předsednictví Rady.

— Při opatřeních v rámci „sady nástrojů kybernetické diplomacie“, PSC a horizontální pracovní skupina.

— Pokud jde o Evropskou komisi, předseda nebo pověřený místopředseda/člen Komise.

— Vysoký představitel Unie pro zahraniční věci a bezpečnostní politiku/místopředseda Komise.

Rozsah činností: strategické a politické řízení jak kybernetických, tak nekybernetických aspektů krize, včetně opatření na základě rámce pro společnou diplomatickou reakci EU na kybernetické činnosti se zlým úmyslem.

Sdílená informovanost o situaci:

— Určit dopady narušení způsobených krizí na fungování Unie.

Reakce:

— Aktivovat další mechanismy/nástroje řešení krizí v závislosti na povaze a dopadu incidentu. Ty mohou zahrnovat například mechanismus civilní ochrany.

— Přijmout opatření na základě rámce pro společnou diplomatickou reakci EU na kybernetické činnosti se zlým úmyslem.

— Zpřístupnit podporu při mimořádných událostech postiženým členským státům, například aktivací Fondu pro reakci při mimořádných událostech v oblasti kybernetické bezpečnosti (22), jakmile bude použitelný.

— Případná spolupráce a koordinace s mezinárodními organizacemi, jako jsou Organizace spojených národů (OSN), Organizace pro bezpečnost a spolupráci v Evropě (OBSE), a zejména NATO.

— Posoudit důsledky pro národní bezpečnost a obranu.

Komunikace s veřejností:

Rozhodnout o společné komunikační strategii vůči veřejnosti.

REAKCE KOORDINOVANÁ S ČLENSKÝMI STÁTY NA ÚROVNI EU V RÁMCI OPATŘENÍ IPCR

V souladu se zásadou komplementarity na úrovni EU vymezuje tento oddíl zejména hlavní cíle a povinnosti i činnosti orgánů členských států, sítě CSIRT, agentury ENISA, skupiny CERT-EU, Europolu/centra EC3, střediska INTCEN, střediska EU pro hybridní hrozby a Horizontální pracovní skupiny Rady pro otázky týkající se kybernetiky v rámci postupu IPCR a zaměřuje se na ně. Předpokládá se, že aktéři jednají v souladu se zavedenými postupy na úrovni EU nebo na vnitrostátní úrovni.

Je nezbytné upozornit, že, jak dokládá obrázek 1, bez ohledu na aktivaci mechanismů EU pro řešení krizí probíhají činnosti na vnitrostátní úrovni, jakož i spolupráce v rámci sítě týmů CSIRT (v případě potřeby) po dobu jakéhokoli incidentu/krize podle zásady subsidiarity a proporcionality.

Obrázek 1

Reakce na kybernetický bezpečnostní incident/krizi na úrovni EU

Všechny činnosti popsané níže se mají provádět v souladu se standardními operačními postupy/pravidly zapojených mechanismů spolupráce a dále v souladu s ustavenými mandáty a pravomocemi jednotlivých aktérů a institucí. Je možné, že tyto postupy/pravidla bude nutné doplnit nebo upravit, aby bylo dosaženo co nejlepší spolupráce a co nejúčinnější reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize.

Je možné, že při některém konkrétním incidentu nebude od všech aktérů vyžadováno, aby přijali opatření. Nicméně plán a příslušné standardní operační postupy mechanismů spolupráce by měly předpokládat jejich možné zapojení.

Vzhledem k různé míře dopadu, jejž může mít kybernetický bezpečnostní incident na společnost, bude vysoký stupeň pružnosti, pokud jde o zapojení odvětvových aktérů na všech úrovních, a jakákoli náležitá reakce záviset jak na kybernetických, tak na nekybernetických zmírňujících opatřeních.

Řešení kybernetických bezpečnostních krizí – začlenění kybernetické bezpečnosti do postupu IPCR

Opatření IPCR, popsaná ve standardních operačních postupech IPCR (23), se řídí posloupností podle kroků popsaných níže (uplatnění některých z těchto kroků bude záviset na situaci).

Při každém kroku uvádíme konkrétní činnosti a aktéry kybernetické bezpečnosti. Pro snazší orientaci je při každém kroku uveden text ze standardních operačních postupů IPCR a po něm následují konkrétní opatření plánu. Tento přístup založený na postupných krocích rovněž umožňuje jednoznačné určení stávajících nedostatků v nezbytných schopnostech a postupech, které brání účinné reakci na kybernetické bezpečnostní krize.

Obrázek 2 (níže (24)) je grafické zobrazení postupu IPCR, v němž jsou nové prvky zvýrazněny modře.

Obrázek 2

Konkrétní prvky kybernetické bezpečnosti v IPCR

Poznámka: Vzhledem k povaze hybridních hrozeb v kybernetické oblasti, které jsou koncipovány tak, aby zůstaly pod prahem zřejmé krize, musí EU přijmout opatření v oblasti prevence a připravenosti. Středisko EU pro hybridní hrozby má za úkol rychle analyzovat relevantní incidenty a informovat příslušné koordinační struktury. Pravidelné podávání zpráv střediskem pro hybridní hrozby může přispět k utváření odvětvové politiky s cílem posílit připravenost.

— Krok 1 – Pravidelné odvětvové monitorování a varování: stávající pravidelné odvětvové situační zprávy a varování poskytují předsednictví Rady informace o rozvíjející se krizi a jejím možném vývoji. — Zjištěný nedostatek: V současnosti neexistují pravidelné a koordinované zprávy o situaci v oblasti kybernetické bezpečnosti ani varování, pokud jde o kybernetické bezpečnostní incidenty (a hrozby) na úrovni EU. — Plán: monitorování situace v oblasti kybernetické bezpečnosti EU/podávání zpráv o této situaci — Agentura ENISA bude pravidelně připravovat technickou zprávu EU o situaci v oblasti kybernetické bezpečnosti týkající se kybernetických bezpečnostních incidentů a hrozeb na základě veřejně dostupných informací, svých vlastních analýz a zpráv, které s ní (dobrovolně) sdílejí týmy CSIRT členských států nebo jednotná kontaktní místa podle směrnice o bezpečnosti sítí a informací, Evropské centrum pro boj proti kyberkriminalitě (EC3) při Europolu, skupina CERT-EU a Evropské středisko pro analýzu zpravodajských informací (INTCEN) při Evropské službě pro vnější činnost (ESVČ). Zpráva by měla být k dispozici příslušným útvarům Rady, Komise a síti týmů CSIRT. — Středisko EU pro hybridní hrozby by jménem SIAC mělo vytvářet operační zprávu EU o situaci v oblasti kybernetické bezpečnosti. Tato zpráva rovněž představuje podporu pro rámec pro společnou diplomatickou reakci EU na kybernetické činnosti se zlým úmyslem. — Obě zprávy jsou šířeny mezi zainteresovanými stranami na úrovni EU a členských států, aby přispívaly k jejich vlastní informovanosti o situaci, utvářely rozhodování a usnadňovaly přeshraniční regionální spolupráci.

Poté, co byl zjištěn incident

— Krok 2 – Analýza a doporučení: na základě dostupného monitorování a varování se útvary Komise, ESVČ a generální sekretariát Rady vzájemně informují o možném vývoji, aby byly připraveny poskytovat předsednictví doporučení pro případnou aktivaci (v plném rozsahu nebo v režimu sdílení informací) IPCR. — Plán: — Pokud jde o Komisi, GŘ CNECT, GŘ HOME, GŘ HR.DS a GŘ DIGIT, podporované agenturou ENISA, centrem EC3 a skupinou CERT-EU. — ESVČ. Středisko EU pro hybridní hrozby, které využívá práci situačního střediska EU (SITROOM) a zpravodajské zdroje, zajišťuje informovanost o situaci, pokud jde o skutečné a potenciální hybridní hrozby pro EU a její partnery, včetně kybernetických hrozeb. Proto v případě, že analýza a posouzení střediska EU pro hybridní hrozby naznačují existenci možných hrozeb namířených proti členskému státu, partnerské zemi nebo organizaci, INTCEN bude podle zavedených postupů informovat (v prvé řadě) na operační úrovni. Na operační úrovni se pak vypracují doporučení pro politicko-strategickou úroveň, včetně případné aktivace opatření pro řešení krizí v monitorovacím režimu (např. mechanismus ESVČ pro reakce na krize nebo monitorovací stránka IPCR). — Předseda sítě týmů CSIRT, jemuž je nápomocna agentura ENISA, připravuje situační zprávu EU o kybernetických bezpečnostních incidentech (25), jež se předkládá předsednictví, Komisi a vysokému představiteli/místopředsedovi Komise prostřednictvím týmu CSIRT rotujícího předsednictví.

— Krok 3 – Posouzení/rozhodnutí o aktivaci opatření IPCR: předsednictví posoudí, zda je zapotřebí politická koordinace, výměna informací či rozhodování na úrovni EU. Za tímto účelem může předsednictví svolat neformální zasedání u kulatého stolu. Předsednictví předběžně určí oblasti, které vyžadují zapojení výboru COREPER či Rady. To bude základem pokynů pro vypracování zpráv týkajících se integrované informovanosti o situaci a analýzy situace (ISAA). S přihlédnutím k povaze krize, jejím možným dopadům a souvisejícím politickým potřebám rozhodne předsednictví o tom, zda je vhodné svolat zasedání příslušných pracovních skupin Rady a/nebo výboru COREPER a/nebo Politického a bezpečnostního výboru. — Plán: — Účastníci zasedání u kulatého stolu: — Útvary Komise a ESVČ budou poskytovat předsednictví poradenství ve svých příslušných oblastech působnosti. — Zástupci členských států v Horizontální pracovní skupině pro otázky týkající se kybernetiky, podporovaní odborníky z hlavních měst (týmy CSIRT, orgány příslušné pro kybernetickou bezpečnost atd.). — Politické/strategické pokyny pro zprávy ISAA založené na nejnovější situační zprávě EU o kybernetických bezpečnostních incidentech a dalších informacích poskytnutých účastníky zasedání u kulatého stolu. — Příslušné pracovní skupiny a výbory: — Horizontální pracovní skupina pro otázky týkající se kybernetiky. Komise, ESVČ a generální sekretariát Rady, s plným souhlasem a zapojením předsednictví, mohou rovněž rozhodnout o aktivaci IPCR v režimu sdílení informací tím, že vytvoří stránku věnovanou krizi, aby připravily podmínky pro případnou úplnou aktivaci.

— Krok 4 – Aktivace IPCR/shromažďování a výměna informací: po aktivaci (ať už v režimu sdílení informací nebo v plném rozsahu) je na webové platformě IPCR vytvořena stránka věnovaná krizi, umožňující konkrétní výměnu informací se zaměřením na aspekty, které budou přispívat ke zprávám ISAA a připravovat diskusi na politické úrovni. To, který útvar bude vedoucím (některý z útvarů Komise nebo ESVČ), bude záviset na okolnostech případu.

— Krok 5 – Vytváření ISAA: bude iniciováno vypracování zpráv ISAA. Komise/ESVČ vydá zprávy ISAA, jak je uvedeno ve standardních operačních postupech ISAA, a může dále podporovat výměnu informací na webové platformě IPCR nebo předkládat konkrétní žádosti o informace. Zprávy ISAA budou přizpůsobeny potřebám na politické úrovni (tj. výboru COREPER nebo Rady), jak je vymezí předsednictví a jak budou stanoveny v jeho pokynech, což umožní strategický přehled o situaci a kvalifikovanou rozpravu o bodech programu vymezených předsednictvím. O tom, zda zprávu ISAA vypracuje jeden z útvarů Komise (GŘ CNECT, GŘ HOME), nebo ESVČ, se rozhodne v souladu se standardními operačními postupy ISAA podle povahy kybernetické bezpečnostní krize. V návaznosti na aktivaci IPCR nastíní předsednictví konkrétní oblasti, na které se ISAA soustředí, aby podporovala politickou koordinaci a/nebo rozhodovací proces v Radě. Předsednictví rovněž po konzultacích s útvary Komise/ESVČ určí načasování zprávy. — Plán: — Zpráva ISAA obsahuje příspěvky relevantních útvarů, včetně: — sítě týmů CSIRT v podobě situační zprávy EU o kybernetických bezpečnostních incidentech, — centra EC3, střediska SITROOM, střediska EU pro hybridní hrozby, skupiny CERT-EU; středisko EU pro hybridní hrozby bude případně podporovat vedoucí útvar ISAA a kulatý stůl IPCR a poskytovat jim příspěvky, — odvětvových agentur a subjektů EU v závislosti na dotčených odvětvích, — orgánů členských států (jiných než týmů CSIRT). — Shromažďování vstupů ISAA (26): — Komise a agentury EU: interní páteřní síť pro ISAA bude zajišťována informačním systémem ARGUS. Agentury EU musí své příspěvky zaslat svému příslušnému GŘ, které pak relevantní informace vloží do systému ARGUS. Útvary Komise a agentury shromáždí informace ze stávajících odvětvových sítí vytvořených spolu s členskými státy a mezinárodními organizacemi a z dalších relevantních zdrojů. — Pokud jde o ESVČ: interní páteřní síť a jednotné kontaktní místo budou zajišťovány situačním střediskem EU za podpory dalších relevantních oddělení ESVČ. ESVČ bude shromažďovat informace z třetích zemí a z relevantních mezinárodních organizací.

— Krok 6 – Příprava neformálního kulatého stolu předsednictví: předsednictví, kterému je nápomocen generální sekretariát Rady, vymezí časový plán, program, účastníky a očekávané výsledky (možné výstupy) neformálního zasedání předsednictví u kulatého stolu. Generální sekretariát Rady bude jménem předsednictví předávat příslušné informace webové platformě IPCR, a zejména vydá oznámení o zasedání.

— Krok 7 – Kulatý stůl předsednictví/přípravná opatření pro politickou koordinaci/rozhodování EU: předsednictví uspořádá neformální kulatý stůl, aby vyhodnotilo situaci a připravilo a posoudilo body, na které má být upozorněn výbor COREPER nebo Rada. Neformální kulatý stůl předsednictví bude také fórem pro vypracování, posouzení a projednání veškerých návrhů opatření, které mají být předloženy výboru COREPER/Radě. — Plán: — Horizontální pracovní skupina Rady pro otázky týkající se kybernetiky by měla připravit zasedání Politického a bezpečnostního výboru nebo výboru COREPER.

— Krok 8 – Politická koordinace a rozhodování ve výboru COREPER/v Radě: výsledky zasedání výboru COREPER/Rady se týkají koordinace činností v oblasti reakce na všech úrovních, rozhodnutí o mimořádných opatřeních, politických prohlášeních atd. Tato rozhodnutí rovněž představují aktualizované politické/strategické pokyny pro další vytváření zpráv ISAA. — Plán: — Politické rozhodnutí o koordinaci reakce na kybernetickou bezpečnostní krizi se uskutečňuje prostřednictvím činností (prováděných příslušnými aktéry) popsaných výše v oddíle 1 „Spolupráce na strategické/politické, operační a technické úrovni“, pokud jde o reakci a komunikaci s veřejností. — Vytváření ISAA pokračuje na technické, operační a politické/strategické úrovni, pokud jde o informovanost o situaci, popsanou rovněž výše v oddíle 1.

— Krok 9 – Monitorování dopadu: vedoucí útvar ISAA s podporou přispěvatelů ISAA poskytne informace o vývoji krize a dopadu přijatých politických rozhodnutí. Tato zpětnovazební smyčka bude podporovat proces a rozhodnutí předsednictví při pokračujícím zapojení politické úrovně EU nebo při postupném omezování opatření IPCR.

— Krok 10 – Postupné ukončování: předsednictví může stejným postupem jako při aktivaci svolat neformální zasedání u kulatého stolu s cílem posoudit možnost, zda zachovat aktivní opatření IPCR, či nikoli. Předsednictví může rozhodnout o ukončení nebo omezení aktivace. — Plán: — Agentura ENISA může být vyzvána k tomu, aby přispěla k technickému šetření incidentu ex post nebo aby je provedla v souladu s ustanoveními svého mandátu.

(1) Rozhodnutí 2014/496/SZBP.

(2) Směrnice (EU) 2016/1148.

(3) Rozhodnutí Komise (EU, Euratom) 2015/443 ze dne 13. března 2015 o bezpečnosti v Komisi (Úř. věst. L 72, 17.3.2015, s. 41); rozhodnutí Komise (EU, Euratom) 2015/444 ze dne 13. března 2015 o bezpečnostních pravidlech na ochranu utajovaných informací EU (Úř. věst. L 72, 17.3.2015, s. 53); rozhodnutí vysoké představitelky Unie pro zahraniční věci a bezpečnostní politiku ze dne 19. dubna 2013 o bezpečnostních pravidlech pro Evropskou službu pro vnější činnost (Úř. věst. C 190, 29.6.2013, s. 1); rozhodnutí Rady 2013/488/EU ze dne 23. září 2013 o bezpečnostních pravidlech na ochranu utajovaných informací EU (Úř. věst. L 274, 15.10.2013, s. 1).

(4) https://www.first.org/tlp

(5) K červnu 2016 patřily k těmto přenosovým kanálům CIMS (Classified Information Management System), ACID (šifrovací algoritmus), RUE (zabezpečený systém pro vytváření, výměnu a ukládání dokumentů RESTREINT UE/EU RESTRICTED) a síť SOLAN. Mezi další způsoby např. přenášení utajovaných informací patří program PGP nebo standard S/MIME.

(6) Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

(7) Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37).

(8) Nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (Úř. věst. L 8, 12.1.2001, s. 1) – v současnosti předmětem přezkumu.

(9) Tady je třeba zmínit, že komunikace s veřejností může znamenat jak komunikování o incidentu s veřejností jako celkem, tak komunikaci více technických a operačních informací kritickým odvětvím a těm, kdo byli incidentem zasaženi. To může znamenat, že je nutné využít kanály pro šíření utajovaných informací a specifické technické nástroje/platformy. Komunikace s operátory/provozovateli a širší veřejností v rámci členského státu je však v obou případech výsadou a odpovědností každého členského státu. V souladu s výše uvedenou zásadou subsidiarity jsou to tedy členské státy a vnitrostátní týmy CSIRT, kdo má definitivní odpovědnost za informace šířené na jejich území a předávané jejich klientům.

(10) „Povolení jednat“ – tváří v tvář kybernetické bezpečnostní krizi má zásadní důležitost krátká reakční doba nutná ke spuštění příslušných zmírňujících opatření. Aby mohla být reakční doba co nejkratší, může „povolení jednat“ vydávat jeden stát druhému a povolit mu jednat okamžitě, aniž by musel konzultovat s vyššími úrovněmi nebo orgány EU a použít za běžné situace povinné oficiální kanály, ledaže by to bylo v konkrétním případě vyžadováno (tj. např. tým CSIRT by nemusel konzultovat s vyššími úrovněmi, zda může týmu CSIRT v jiném členském státě poslat cenné informace).

(11) „Řešením incidentu“ se rozumí veškeré postupy, které pomáhají incident odhalit, analyzovat, zamezit jeho šíření a reagovat na něj.

(12) Podle povahy a dopadu incidentu na různá odvětví činnosti (finančnictví, doprava, energetika, zdravotnictví atd.) budou zapojeny příslušné agentury nebo instituce EU.

(13) Situační zpráva EU o kybernetickém bezpečnostním incidentu je souhrnem vnitrostátních zpráv poskytnutých vnitrostátními týmy CSIRT. Formát této zprávy by měl být popsán ve standardních operačních postupech sítě týmů CSIRT.

(14) V souladu s podmínkami a postupy uvedenými v právním rámci centra EC3.

(15) Indikátor narušení (indicator of compromise, IOC) – v počítačové forenzní analytice jde o artefakt na síti nebo v operačním systému, který s vysokou pravděpodobností ukazuje na narušení počítačového systému. K typickým IOC patří signatury a IP adresy virů, haše MD5 nebo malwarové soubory nebo internetové adresy nebo doménová jména řídících serverů botnetů.

(16) Návrh nařízení o agentuře ENISA, Evropské agentuře pro kybernetickou bezpečnost a o zrušení nařízení (EU) č. 526/2013 a o kybernetické bezpečnostní certifikaci informační a komunikační technologie (nařízení o kybernetické bezpečnosti), 13. září 2017.

(17) Doporučení technické povahy o příčinách a možných zmírňujících krocích.

(18) Informace o technické zranitelnosti, kterou někdo zneužívá, aby negativně ovlivnil systém IT.

(19) Výbor stálých zástupců neboli COREPER (článek 240 Smlouvy o fungování Evropské unie) zodpovídá za přípravu prací Rady Evropské unie.

(20) Politický a bezpečnostní výbor (PSC) je výbor Rady Evropské unie zabývající se společnou zahraniční a bezpečnostní politikou (SZBP), jak je uvedeno v článku 38 Smlouvy o Evropské unii.

(21) V souladu s podmínkami a postupy uvedenými v právním rámci centra EC3.

(22) Fond pro mimořádné události v oblasti kybernetické bezpečnosti je opatření navržené ve společném sdělení „Resilience, Deterrence and Defence: Building strong cybersecurity for the EU“, JOIN(2017) 450/1.

(23) Z dokumentu 12607/15 „Standardní operační postupy integrované politické reakce EU na krize“, který schválila Skupina přátel předsednictví a který vzal Výbor stálých zástupců na vědomí v říjnu 2015.

(24) Větší verzi obrázku lze nalézt v dodatku.

(25) Situační zpráva EU o kybernetických bezpečnostních incidentech je souhrnem vnitrostátních zpráv poskytnutých vnitrostátními týmy CSIRT. Formát této zprávy by měl být popsán ve standardních operačních postupech sítě týmů CSIRT.

(26) Standardní operační postupy ISAA.