SPOLEČNÉ SDĚLENÍ EVROPSKÉMU PARLAMENTU A RADĚ

Zpráva o provádění strategie kybernetické bezpečnosti EU pro digitální dekádu

I.Kybernetická odolnost, operační kapacita a otevřenost jsou důležitější než kdykoli předtím

Ve světě po pandemii je kybernetická bezpečnost nepostradatelná pro zavádění inteligentnější a ekologičtější technologie. Je nepostradatelná pro celkovou bezpečnost EU a představuje jeden z pilířů bezpečnostní unie. Sociální, politický a hospodářský vývoj vyžaduje technologickou suverenitu a globální, otevřený a bezpečný kybernetický prostor založený na zásadě právního státu a na dodržování lidských práv a základních svobod. To byl základní předpoklad, z něhož vycházelo společné sdělení Komise a vysokého představitele pro zahraniční věci a bezpečnostní politiku o strategii kybernetické bezpečnosti EU pro digitální dekádu, přijaté dne 16. prosince 2020. Potenciálními cíli kybernetických útoků jsou všechny kritické subjekty. Vývoj v posledních šesti měsících potvrdil správnost zaměření strategie na posílení regulačních reforem, na investice a na kolektivní operativní reakci.

Nedávné kybernetické útoky prokázaly zejména zvýšenou všudypřítomnost ransomwarových operací a operací kybernetické špionáže a stále větší riziko, jež představují pro všechna odvětví hospodářství a celou společnost. Rozsah incidentů je mimořádně velký: statisíce serverů postižených při útocích na platformu Microsoft Exchange; 18 000 organizací potenciálně postižených kampaní SolarWinds Orion; ukradená citlivá data o stovkách pacientů a narušené lékařské služby při ransomwarovém útoku na zdravotní služby v Irsku; nouzová situace v dodávkách paliv a masivní krádež dat při kybernetickém útoku na fakturační systém společnosti Colonial Pipeline a narušení operací největšího světového dodavatele hovězího masa. Plný rozsah škod sice není zatím jasný, ale každý z těchto incidentů podtrhuje potenciální dalekosáhlé důsledky zlovolného využívání slabin v produktech, službách, systémech a sítích informačních a komunikačních technologií. Lze očekávat, že dopad i četnost těchto kybernetických útoků bude narůstat a že budou ohrožovat naši bezpečnost.

Je proto nezbytné, aby Evropská unie urychlila pokrok na všech frontách – legislativní, operační, investiční a diplomatické –, jak je stanoveno ve strategii. Co nejdříve by měly být přijaty návrhy směrnice o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii („směrnice o bezpečnosti sítí a informací 2“), směrnice o odolnosti kritických subjektůa nařízení a směrnice o digitální provozní odolnosti. V této souvislosti je nezbytné uplatňovat ambiciózní přístup, zejména pokud jde o dodavatelské řetězce, vzhledem k tomu, že původ slabin při nedávných kybernetických útocích byl zpětně vysledován až k prodejcům softwaru, a přijmout opatření zajišťující odolnost veřejných správ a rychlé oznamování incidentů. Naléhavější než kdykoli předtím se stává potřeba vytvořit síť bezpečnostních operačních středisek (neboli „SOC“) pro včasné zjišťování signálů kybernetických útoků, jakož i potřeba vytváření důvěryhodné, účinné a kolektivní reakce EU, a to i na operační úrovni, na závažné incidenty prostřednictvím Společné kybernetické jednotky. Vzhledem k nárůstu kybernetických útoků vedených státními nebo státem financovanými subjekty musí být i nadále podporováno odpovědné chování států v rámci Organizace spojených národů, jakož i prostřednictvím kybernetických dialogů a strukturovaných výměn s mezinárodními organizacemi, včetně Africké unie, regionálního fóra ASEAN, Organizace amerických států (OAS) a Organizace pro bezpečnost a spolupráci v Evropě (OBSE), spolu s účinnými diplomatickými kroky, jež mají předcházet nepřátelskému jednání v kyberprostoru, odrazovat a odstrašovat od takového jednání a reagovat na ně. Zvláště důležitá bude spolupráce se stejně smýšlejícími třetími zeměmi a priority transatlantické agendy; zejména by měla být podrobněji prozkoumána spolupráce mezi EU a USA v oblasti konkrétních aspektů kybernetické bezpečnosti, včetně sdílení informací a boje proti ransomwaru.

II.Přehled prvních šesti měsíců provádění

Řada strategických opatření již dosti pokročila.

II.1 Odolnost, technologická suverenita a vedoucí postavení

Dodavatelské řetězce a kritická infrastruktura včetně nemocnic bojujících proti pandemii COVID-19 na celém světě jsou nyní vystaveny trvalému riziku kybernetických útoků. Komise podporuje spolunormotvůrce v tom, aby zajistili rychlé přijetí návrhu reformy směrnice o bezpečnosti sítí a informačních systémů, která zejména rozšíří pokrytí zdravotnictví včetně výzkumných laboratoří a výroby kritických zdravotnických prostředků a léčivých přípravků a nových činností v odvětví energetiky, jako je výroba vodíku, dálkové vytápění, výroba elektřiny a centrální sklady ropy.

Dne 20. května 2021 bylo přijato nařízení, kterým se zřizuje centrum kompetencí pro kybernetickou bezpečnost a síť národních koordinačních center. Bude soustřeďovat zdroje od EU, členských států a průmyslu na zlepšování a posilování technologických a průmyslových kapacit v oblasti kybernetické bezpečnosti, zvyšování otevřené strategické autonomie EU a poskytování možnosti konsolidovat část činností v oblasti kybernetické bezpečnosti financovaných v rámci programů Horizont Evropa a Digitální Evropa a Nástroje pro oživení a odolnost – tj. toky financování v celkové výši až 4,5 miliardy EUR v období příštích šesti let. To podpoří vytvoření kybernetického štítu EU pro včasné zjišťování kybernetických útoků do roku 2023, tvořeného sítí bezpečnostních operačních středisek, jež mohou být veřejná nebo soukromá a budou využívat nástroje založené na umělé inteligenci. Některé členské státy zahrnuly vytvoření těchto národních center do svých příslušných plánů pro oživení a odolnost. Komise toto úsilí doplní přidělením finančních prostředků z programu Digitální Evropa a bude podporovat jejich postupné propojení. Tyto finanční programy budou též podporovat iniciativu EuroQCI, jejímž cílem je vybudovat bezpečnou kvantovou komunikační infrastrukturu zahrnující celou EU, včetně jejích zámořských území, s využitím té nejlepší kombinace zemských a kosmických technologií a včetně zvláštní rozpočtové linie na podporu kybernetické odolnosti v oblasti zdravotnictví.

Zajištění kybernetické bezpečnosti sítí 5G je kontinuální proces, který bude doprovázet postupné zavádění sítí 5G a provádění souboru nástrojů EU pro sítě 5G. Většina členských států již má – nebo brzy bude mít – zaveden rámec pro uložení příslušných omezení dodavatelům sítí 5G. Požadavky na provozovatele mobilních sítí se posilují provedením kodexu pro elektronické komunikace ve vnitrostátním právu a Agentura EU pro kybernetickou bezpečnost (ENISA) připravuje návrh systému certifikace kybernetické bezpečnosti pro sítě 5G v EU. S ohledem na nové trendy a vývoj v dodavatelském řetězci sítí 5G se orgány členských států rozhodly zahájit v rámci souboru nástrojů EU hloubkovou analýzu bezpečnostních dopadů řešení založených na otevřené, dezagregované a interoperabilní síťové technologii („Open RAN“). Výsledek této práce dále přispěje ke koordinovanému přístupu EU k bezpečnosti sítí 5G.

Je třeba zvýšit úsilí, zejména prostřednictvím Akčního plánu digitálního vzdělávání v EU, a řešit velký nedostatek pracovních sil, který, jak se předpokládá, do roku 2022 dosáhne v celosvětovém měřítku téměř dvou milionů neobsazených pracovních míst v oblasti kybernetické bezpečnosti, z nichž 350 000 tisíc připadne na samotnou Evropu, a dále nedostatečné zastoupení žen: ženy tvoří pouhých 11 % pracovní síly v oblasti kybernetické bezpečnosti ve světě, a v Evropě ještě méně – 7 %. Jiné probíhající politické iniciativy zahrnují přípravné práce na budoucích iniciativách zaměřených na zajištění bezpečnosti internetu věcí, a pokud jde o internetové standardy, na vytvoření neziskové služby pro překlad doménových jmen („DNS4EU“).

II.2 Budování operační kapacity v oblasti prevence, odrazování a reakce

S růstem státních a státem podporovaných, a rovněž zločineckých útoků na sítě a informační systémy a s rostoucí závislostí na databázích citlivých informací EU vyžaduje užší propojení kybernetických komunit. Musí jednotně reagovat na občanské, trestní, diplomatické a obranné aspekty rozsáhlých kybernetických útoků, s nimiž se v poslední době setkávají mnohá citlivá odvětví ekonomiky. Všechny komunity proto musí vyvinout úsilí o dokončení čtyř kroků popsaných v doporučení Komise o vytvoření Společné kybernetické jednotky, které se přijímá zároveň s touto zprávou. To napomůže další koordinaci a překonání nedostatků v reakci EU na kybernetické hrozby. V boji proti kybernetické kriminalitě byla dosažena politická shoda na přechodném nařízení proti pohlavnímu zneužívání dětí na internetu, jež bude v krátké době přijato, a nová strategie Komise pro boj proti organizované trestné činnosti se zaměřuje na nutnost vybavit donucovací orgány digitálními nástroji, které potřebují. Komise rovněž v únoru 2020 přijala Akční plán pro synergie mezi civilním, obranným a kosmickým průmyslem, který stanoví nový stěžejní projekt vytvoření kosmického globálního systému EU pro bezpečné připojení. Jeho cílem je „umožn[it] přístup k vysokorychlostnímu připojení pro všechny v Evropě a poskytn[out] odolný systém připojení, který umožní Evropě zůstat ve spojení, ať se stane cokoli“.

Z mezinárodního hlediska vysoký představitel v souladu s ambiciózním cílem stanoveným v rámci Strategického kompasu v současné době připravuje přezkum politického rámce EU pro kybernetickou obranu, který má být členským státům předložen ve druhé polovině roku 2021. Vysoký představitel pracuje na zlepšení schopnosti EU předcházet nepřátelské kybernetické činnosti, odrazovat a odstrašovat od této činnosti a reagovat na ni, mimo jiné posilováním mezinárodní spolupráce. Dne 17. května 2021 Evropská služba pro vnější činnost (ESVČ) ve spolupráci s portugalským předsednictvím a Ústavem Evropské unie pro studium bezpečnosti (EUISS) uspořádala diskusi s členskými státy EU a mezinárodními partnery založenou na scénářích, jejímž cílem bylo zlepšit vzájemné porozumění příslušným diplomatickým přístupům k předcházení nepřátelské kybernetické činnosti, odrazování a odstrašování od této činnosti a reakci na ni a zjistit možnosti dalšího posilování mezinárodní spolupráce za tímto účelem. V zájmu dalšího posílení souboru nástrojů EU pro kybernetickou diplomacii ESVČ shromažďuje získané poznatky a možná přezkoumá prováděcí pokyny rámce pro společnou diplomatickou reakci EU na nepřátelské činnosti v kyberprostoru.

Jak bylo oznámeno ve Strategii kybernetické bezpečnosti EU pro digitální dekádu, Komise provádí studii zaměřenou na vypracování nástrojů pro zvyšování povědomí, které mají zlepšit připravenost a odolnost podniků v EU proti krádežím duševního vlastnictví způsobeným kybernetickými útoky. Komise rovněž zintenzivnila donucovací opatření v souvislosti se směrnicí 2013/40/EU o útocích na informační systémy tím, že v červnu 2021 zahájila další řízení o nesplnění povinností vůči některým členským státům. V případě potřeby Komise zváží další opatření. Klíčové bude také zvyšování dostupnosti dovedností v oblasti kybernetické bezpečnosti u pracovní síly v EU; centrum kompetencí pro kybernetickou bezpečnost v této oblasti provede klíčová opatření zaměřená na prohlubování znalostí a schopností a na podporu mezioborových dovedností, které je třeba v oblasti kybernetické bezpečnosti rozvíjet.

II.3 Prosazování globálního a otevřeného kyberprostoru

Formy hrozeb jsou spojeny s geopolitickým napětím ohledně globálního a otevřeného internetu a ohledně technologií v celém dodavatelském řetězci. Omezení internetu a na internetu, růst nepřátelské kybernetické činnosti a činností ovlivňujících bezpečnost a integritu produktů a služeb informačních a komunikačních technologií ohrožují globální a otevřený kyberprostor, jakož i právní stát, lidská práva, základní svobody a demokratické hodnoty. Vysoký představitel spolu s členskými státy proto usiluje o prosazování odpovědného chování států v kyberprostoru, zejména zavedením akčního programu na prosazování odpovědného chování států v kybernetickém prostoru na úrovni OSN, a to za podpory dalších 53 spolupředkladatelů a v návaznosti na společnou zprávu otevřené pracovní skupiny OSN pro vývoj v oblasti informací a telekomunikací v souvislosti s mezinárodní bezpečností ze dne 12. března 2021. EU pracuje na posilování a rozšiřování vztahů se třetími zeměmi, mezinárodními a regionálními organizacemi, jakož i s mnohostrannou komunitou prostřednictvím kybernetických dialogů, jež jsou stanoveny ve strategii a prostřednictvím sítě EU pro kybernetickou diplomacii. Dále se zřizuje Rada EU pro budování kybernetických kapacit, jež umožní orgánům, institucím a jiným subjektům EU lepší koordinaci a spolupráci při budování vnějších kybernetických kapacit EU.