CS Úřední věstník Evropské unie C 227/86

Stanovisko Evropského hospodářského a sociálního výboru k návrhu nařízení Evropského parlamentu a Rady o agentuře ENISA, Evropské agentuře pro kybernetickou bezpečnost, a zrušení nařízení (EU) č. 526/2013 a o certifikaci kybernetické bezpečnosti informačních a komunikačních („akt o kybernetické bezpečnosti“)

[COM(2017) 477 final/2 – 2017/0225 (COD)]

(2018/C 227/13)

Zpravodaj: Alberto MAZZOLA Spoluzpravodaj: Antonio LONGO

Konzultace Evropský parlament, 23. 10. 2017 Rada Evropské unie, 25. 10. 2017 Právní základ Článek 114 Smlouvy o fungování Evropské unie Odpovědná specializovaná sekce Doprava, energetika, infrastruktura a informační společnost Přijato ve specializované sekci 5. 2. 2018 Přijato na plenárním zasedání 14. 2. 2018 Plenární zasedání č. 532 Výsledek hlasování (pro/proti/zdrželi se hlasování) 206/1/2

1. Závěry a doporučení

1.1. EHSV se domnívá, že nový trvalý mandát agentury ENISA, jak jej navrhuje Komise, významně přispěje k posílení odolnosti evropských systémů. Příslušný předběžný rozpočet a prostředky přidělené agentuře ENISA však nebudou pro plnění jejího mandátu dostatečné.

1.2. EHSV doporučuje všem členským státům, aby ustavily orgán, který by byl jednoznačným a rovnocenným protějškem agentury ENISA, neboť většina z nich tak dosud neučinila.

1.3. EHSV se rovněž domnívá, že z hlediska budování kapacit by agentura ENISA měla upřednostňovat opatření podporující elektronickou veřejnou správu ( 1 ) . Klíčový význam má digitální identita osob, organizací a předmětů v EU i na celém světě, přičemž prioritou by měla být prevence zneužití totožnosti a podvodů on-line a boj proti nim.

1.4. EHSV doporučuje, aby agentura ENISA vypracovávala pravidelné zprávy o kybernetické připravenosti členských států zaměřené především na odvětví uvedená v příloze II směrnice o bezpečnosti sítí a informací. Připravenost členských států a účinnost evropského mechanismu reakce na kybernetickou krizi by měly být prověřovány v rámci každoročního evropského kybernetického cvičení, z jehož výsledků by měla být vyvozena doporučení.

1.5. EHSV podporuje návrh na vytvoření sítě odborné způsobilosti pro kybernetickou bezpečnost. Tato síť by fungovala za podpory Evropského výzkumného a odborného střediska pro kybernetickou bezpečnost. Tato síť by mohla podpořit evropskou digitální suverenitu tím, že vytvoří konkurenceschopnou evropskou průmyslovou základnu pro klíčové technologické schopnosti založenou na činnosti smluvního partnerství veřejného a soukromého sektoru – s následnou přeměnou v tripartitní společný podnik.

1.6. Jednou z nejvýznamnějších příčin kybernetických nehod je lidský faktor. Podle EHSV je třeba vybudovat silnou základnu kybernetických dovedností a zlepšit „kybernetickou hygienu“ mimo jiné i prostřednictvím osvětových kampaní pro jednotlivce i podniky. EHSV podporuje zavedení vzdělávacího programu pro střední školy a odborníky v oboru s certifikací EU.

1.7. EHSV je přesvědčen, že evropský jednotný digitální trh rovněž potřebuje jednotný výklad pravidel v oblasti kybernetické bezpečnosti, včetně vzájemného uznávání mezi členskými státy, a že společným základem by mohly být rámce pro certifikaci a systémy certifikace pro jednotlivá odvětví. K jednotlivým odvětvím je však třeba uplatnit odlišný přístup podle způsobu jejich fungování. EHSV je proto přesvědčen, že by do tohoto procesu měly být zapojeny odvětvové agentury EU (EASA, ERA, EMA atd.) a v některých případech by po dohodě s agenturou ENISA v zájmu zaručení soudržnosti měly být pověřeny vypracováním systému kybernetické bezpečnosti. Ve spolupráci s CEN/CENELEC/ETSI by měly být přijaty minimální evropské normy pro bezpečnost v oblasti IT.

1.8. Plánovaná Evropská skupina pro certifikaci kybernetické bezpečnosti, jíž bude pomáhat Agentura Evropské unie pro bezpečnost sítí a informací (ENISA), by měla být složena z vnitrostátních orgánů dozoru nad certifikací, zainteresovaných stran ze soukromého sektoru včetně hospodářských subjektů z oblastí různých uplatňování, a zástupců vědecké obce a občanské společnosti.

1.9. EHSV je toho názoru, že agentura by jménem Komise měla monitorovat činnost a rozhodování vnitrostátních orgánů dozoru nad certifikací prostřednictvím auditů a kontrol a že by nařízení mělo stanovit odpovědnosti a sankce za nedodržování norem.

1.10. EHSV je přesvědčen, že certifikace nesmí znamenat vyloučení náležitého systému označování, který se musí v zájmu posílení důvěry spotřebitelů vztahovat i na dovážené produkty.

1.11. Evropa by měla zvýšit investice tím, že se jednotlivé fondy EU, vnitrostátní fondy a investice soukromého sektoru zaměří na dosažení strategických cílů na základě silné spolupráce veřejného a soukromého sektoru, mj. i prostřednictvím vytvoření fondu EU pro kybernetickou bezpečnost určeného na inovace a výzkum a vývoj v rámci současného i budoucího rámcového programu pro výzkum. Evropa by dále měla vytvořit fond pro rozvoj kybernetické bezpečnosti, který poskytne nové možnosti financování z prostředků stávajícího i budoucího nástroje pro propojení Evropy i příštího EFSI 3.0.

1.12. EHSV se domnívá, že je třeba zajistit minimální úroveň bezpečnosti pro „běžná“ zařízení „internetu lidí“. Klíčovým způsobem zajištění vyšší úrovně bezpečnosti je v tomto případě certifikace. Bezpečnost internetu věcí by měla být prioritou.

2. Stávající rámec pro kybernetickou bezpečnost

2.1. Kybernetická bezpečnost má zásadní význam nejen pro prosperitu a bezpečnost státu, ale i pro samotné fungování našich demokracií, svobod a hodnot. Ve zprávě o globálním indexu kybernetické bezpečnosti se uvádí, že kybernetická bezpečnost představuje ekosystém, kde musí být zákony, organizace, dovednosti, spolupráce a technické provádění ve vzájemném souladu, aby byly co nejúčinnější. a dále se konstatuje, že kybernetická bezpečnost je pro odpovědné činitele v jednotlivých zemí stále důležitější.

2.2. Potřeba bezpečného ekosystému se v důsledku internetové revoluce stává stále důležitější. Tato revoluce od základu mění nejen odvětví založená na vztahu mezi podniky a spotřebiteli (B2C), jako jsou sdělovací prostředky či maloobchodní a finanční služby, ale i podobu výrobních odvětví, energetiky, zemědělství, dopravy a dalších průmyslových odvětví hospodářství, jež jsou společně zdrojem téměř dvou třetin globálního hrubého domácího produktu, jakož i infrastrukturu veřejných služeb a interakci občanů s veřejnou správou.

2.3. Strategie pro jednotný digitální trh je založena na zlepšení přístupu ke zboží, službám a obsahu a vytváří vhodný právní rámec pro digitální sítě a služby, přičemž využívá výhod ekonomiky založené na datech. Odhaduje se, že by tato strategie mohla do hospodářství EU ročně přispět částkou 415 miliard EUR. Podle odhadů bude do roku 2022 chybět v soukromém sektoru v Evropě 350 000 odborníků s dovednostmi v oblasti kybernetické bezpečnosti ( 2 )

2.4. Podle odhadu jedné studie z roku 2014 dosáhl dopad kybernetické kriminality v Unii v roce 2013 výše 0,41 % HDP EU (tj. přibližně 55 miliard EUR) ( 3 )

2.5. Podle zvláštního průzkumu Eurobarometr 464a o postoji evropských občanů ke kybernetické bezpečnosti se 73 % uživatelů internetu obává, že jejich on-line osobní údaje nejsou bezpečně uchovávány provozovateli webových stránek, a 65 % se domnívá, že tyto údaje nejsou bezpečně uchovávány orgány veřejné správy. Většina dotázaných se obává, že se může stát obětí různých forem počítačové kriminality a zejména škodlivého softwaru na svých zařízeních (69 %), zneužití totožnosti (69 %) a podvodů s bankovními kartami nebo internetovým bankovnictvím (66 %) ( 4 )

2.6. Žádný právní rámec zatím nedokázal udržet krok s tempem digitálních inovací a vhodný rámec se utváří postupně z celé řady jednotlivých právních textů: revize telekomunikačního kodexu, obecné nařízení o ochraně údajů, směrnice o bezpečnosti sítí a informací, nařízení o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu, štít EU–USA na ochranu soukromí, směrnice o potírání podvodů v oblasti bezhotovostních prostředků atd.

2.7. Kromě agentury ENISA (Agentury EU pro kybernetickou bezpečnost) existuje mnoho dalších organizací, které se zabývají záležitostmi kybernetické bezpečnosti: Europol; Cert-EU (skupina pro reakci na počítačové hrozby v orgánech, institucích a jiných subjektech EU); Zpravodajské a informační centrum EU (EU INTCEN); Evropská agentura pro provozní řízení rozsáhlých informačních systémů v prostoru svobody, bezpečnosti a práva (eu-LISA); střediska pro sdílení a analýzu informací (ISAC), Evropská organizace pro kybernetickou bezpečnost (ECSO), Evropská obranná agentura (EDA); Středisko excelence NATO pro společnou kybernetickou obranu; a skupina vládních odborníků OSN zabývající se vývojem v informační a telekomunikační oblasti v kontextu mezinárodní bezpečnosti (UN GGE).

2.8. Bezpečnost již od fáze návrhu má klíčový význam pro zajišťování vysoce kvalitního zboží a služeb: inteligentní zařízení nejsou nijak zvlášť inteligentní, pokud nejsou zabezpečena, a totéž platí o inteligentních automobilech, inteligentních městech a inteligentních nemocnicích – všechny vyžadují integrovanou bezpečnost zařízení, systémů, struktur a služeb.

2.9. Evropská rada na svém zasedání ve dnech 19.–20. října 2017 vyzvala k přijetí společného přístupu ke kybernetické bezpečnosti EU v návaznosti na navrhovaný balíček reforem, přičemž požadovala „společný přístup ke kybernetické bezpečnosti: pro digitální svět je nezbytností důvěra, a má-li být důvěry dosaženo, musíme zajistit proaktivnější bezpečnost ve všech digitálních politikách již od stadia návrhu, poskytovat odpovídající certifikaci bezpečnosti produktů a služeb a posílit naši schopnost předcházet kybernetickým útokům, odrazovat od nich, odhalovat je a reagovat na ně“ ( 5 )

2.10. Evropský parlament ve svém usnesení ze dne 17. května 2017 zdůrazňuje, že „finanční služby je třeba důkladně zabezpečit v celém rozsahu hodnotového řetězce; poukazuje na rozsáhlá a rozmanitá rizika, která představují kybernetické útoky ohrožující infrastrukturu našich finančních trhů, internet věcí, měny a údaje; […] vyzývá evropské orgány dohledu, aby […] pravidelně revidovaly stávající provozní normy zahrnující rizika z hlediska informačních a komunikačních technologií (IKT) týkající se finančních institucí; dále […] vyzývá k tomu, aby evropské orgány dohledu vypracovaly pokyny pro dohled nad těmito riziky“ v členských státech a „zdůrazňuje důležitost technologického know-how v evropských orgánech dohledu“ ( 6 )

2.11. EHSV měl v minulosti řadu příležitostí se těmito otázkami zabývat ( 7 ) , mj. na konferenci o budoucím rozvoji elektronické veřejné správy během summitu v Tallinnu ( 8 ) , a vytvořil stálou studijní skupinu pro digitální agendu.

3. Návrhy Komise

3.1. Součástí balíčku opatření pro kybernetickou bezpečnost je i společné sdělení, které přezkoumává dosavadní evropskou strategii v oblasti kybernetické bezpečnosti (2013), akt o kybernetické bezpečnosti, který se zaměřuje na nový mandát agentury ENISA, a navrhovaný rámec pro certifikaci.

3.2. Strategie je rozdělena do tří hlavních oddílů: odolnost, odrazující opatření a mezinárodní spolupráce. Část věnovaná odrazujícím opatřením se věnuje především problematice kybernetické kriminality, včetně Budapešťské úmluvy, a část týkající se mezinárodní spolupráce se zaměřuje na kybernetickou obranu, kybernetickou diplomacii a spolupráci s NATO.

3.3. Návrh stanoví nové iniciativy, jako např.: — vybudování silnější agentury EU pro kybernetickou bezpečnost, — zavedení celounijního systému certifikace v oblasti kybernetické bezpečnosti, — rychlé provedení směrnice o bezpečnosti sítí a informací.

3.4. V části věnované odolnosti jsou navržena opatření související s kybernetickou bezpečností, která řeší zejména: otázky související s trhem, směrnici o bezpečnosti sítí a informací, rychlou reakci na mimořádné události, rozvoj odborné způsobilosti EU, vzdělání, odbornou přípravu – kybernetické dovednosti a kybernetickou hygienu – a informovanost).

3.5. Akt o kybernetické bezpečnosti současně navrhuje vytvoření certifikačního rámce EU pro kybernetickou bezpečnost pro výrobky a služby informačních a komunikačních technologií.

3.6. Akt o kybernetické bezpečnosti také navrhuje posílit úlohu agentury ENISA jakožto agentury EU pro kybernetickou bezpečnost a udělit agentuře trvalý mandát. Kromě stávajících povinností se od agentury ENISA očekává, že bude zajišťovat plnění nových úkolů v oblasti podpory a koordinace, jmenovitě v rámci podpory provádění směrnice o bezpečnosti sítí a informací, strategie kybernetické bezpečnosti EU, plánu kybernetické bezpečnosti EU, budování kapacit, znalostí a informací, zvyšování povědomí, úkolů souvisejících s trhem, jako jsou např. podpora normalizace a certifikace, výzkumu a inovací, celoevropských kybernetických cvičení, a sekretariátu sítě týmů pro reakci na počítačové bezpečnostní incidenty (CSIRT).

4. Obecné připomínky – přehled

4.1. Kontext: odolnost

4.1.1. Jednotný trh kybernetické bezpečnosti

Náležitá péče: navrhovaná zásada „náležité péče“, o které se zmiňuje společné sdělení v souvislosti s používáním bezpečných procesů životního cyklu vývoje, je zajímavý záměr, který by měl být rozvíjen ve spolupráci s průmyslem EU, což by mohlo vést ke komplexnímu přístupu k dodržování právních předpisů EU. Bezpečnost by měla být automaticky považována za předpoklad budoucího vývoje.

Odpovědnost: certifikace v případě sporu usnadní určení odpovědnosti.

4.1.2. Směrnice o bezpečnosti sítí a informací : energetika, doprava, bankovnictví/finance, zdravotnictví, vodohospodářství, digitální infrastruktura, elektronické obchodování.

Pro EHSV má plné a účinné provedení směrnice o bezpečnosti sítí a informací zásadní význam z hlediska zajištění odolnosti klíčových odvětví na vnitrostátní úrovni.

EHSV je přesvědčen, že sdílení informací mezi veřejnými a soukromými subjekty by mělo být posíleno prostřednictvím odvětvových středisek pro sdílení a analýzu informací (ISAC). Na základě hodnocení/analýzy stávajícího mechanismu by měl být vytvořen vhodný mechanismus pro bezpečné sdílení důvěryhodných informací v rámci středisek ISAC a mezi týmy CSIRT a středisky ISAC.

4.1.3. Rychlá reakce na mimořádné situace

Přístup založený na plánu kybernetické bezpečnosti by zajistil účinný proces operační reakce na úrovni EU a členských států v případě rozsáhlých incidentů. Výbor zdůrazňuje, že je třeba zvážit zapojení soukromého sektoru – jako např. hospodářských subjektů z řad poskytovatelů základních služeb – do mechanismu operační reakce, protože by mohly poskytnout cenné informace o hrozbách a/nebo pomoc při odhalování hrozeb a velkých krizí a při reakci na ně.

Společné sdělení navrhuje začlenění kybernetických incidentů do mechanismů EU pro řešení krizí. I když EHSV chápe potřebu kolektivní reakce a solidarity v případě útoku, je třeba lépe porozumět způsobům uplatnění reakce v praxi, neboť kybernetické hrozby se obvykle šíří přes hranice zemí. Nástroje uplatňované při celostátních mimořádných událostech by mohly být částečně sdíleny v případě místní potřeby.

4.1.4. Rozvíjení odborné způsobilosti EU

Má-li být EU v celosvětovém měřítku skutečně konkurenceschopná a mít pevnou technologickou základnu, je nutné vytvořit soudržný a dlouhodobý rámec pojímající všechny články hodnotového řetězce v oblasti kybernetické bezpečnosti. Pro vytvoření hodnotového řetězce evropské kybernetické bezpečnosti má v tomto ohledu klíčový význam posílení spolupráce mezi evropskými regionálními ekosystémy. EHSV vítá návrh na vytvoření sítě odborné způsobilosti pro kybernetickou bezpečnost.

Tato síť by mohla podpořit evropskou digitální suverenitu tím, že vytvoří konkurenceschopnou evropskou průmyslovou základnu a bude snižovat závislost na know-how pro klíčové technické schopnosti vytvořeném mimo EU, bude zajišťovat technické prověrky, semináře a dokonce i základní školení v oblasti kybernetické hygieny pro odborníky i laiky, a také – na základě činnosti smluvního partnerství veřejného a soukromého sektoru – usilovat o rozvoj sítě vnitrostátních organizací veřejného a soukromého sektoru na podporu rozvoje trhu v Evropě. „Postupný rozvoj smluvního partnerství veřejného a soukromého sektoru by měl vést k optimalizaci, přizpůsobení nebo rozšíření“ (Pracovní program trojice předsednictví – Estonska, Bulharska a Rakouska – v oblasti kybernetické bezpečnosti) prostřednictvím vytvoření tripartitního společného podniku (Komise, členských států a podniků).

Má-li být zajištěna efektivnost sítě a má-li tato síť dosáhnout navrhovaných cílů na evropské úrovni, měla by se opírat o přesně vymezený systém řízení.

Podporu této síti na evropské úrovni by zajišťovalo Evropské výzkumné a odborné středisko pro kybernetickou bezpečnost, které by propojovalo stávající vnitrostátní odborná střediska v celé EU. Evropské výzkumné a odborné středisko pro kybernetickou bezpečnost by nejen koordinovalo a řídilo výzkum, jako je tomu u ostatních společných podniků, ale také umožňovalo účinný vývoj evropského kybernetického ekosystému, který by podporoval provádění a zavádění inovací v rámci EU.

4.2. Kontext: odrazující opatření

4.2.1. Boj proti kybernetické kriminalitě je jednou z hlavních priorit na vnitrostátní i evropské úrovni a vyžaduje silné politické odhodlání. Odrazující opatření by měla být prováděna na základě silného partnerství mezi veřejným a soukromým sektorem zajišťujícím účinné sdílení informací a odborných znalostí na vnitrostátní i v evropské úrovni. Mohla by být rovněž zvážena možnost rozšíření činnosti Europolu na počítačovou forenzní analýzu a monitoring.

4.3. Kontext: mezinárodní spolupráce

4.3.1. Navazování a udržování důvěryhodné spolupráce se třetími zeměmi prostřednictvím kybernetické diplomacie a obchodních partnerství je klíčem k posílení schopnosti Evropy předcházet rozsáhlým počítačovým útokům, potírat je a reagovat na ně. Evropa by měla rozvíjet svoji spolupráci s USA, Čínou, Izraelem, Indií a Japonskem. Modernizace kontrol vývozu EU by se měla vyvarovat porušování lidských práv a zabránit zneužívání technologií proti vlastní bezpečnosti v EU, měla by však také zajistit, aby nebyl poškozen průmysl EU s ohledem na nabídky třetích zemí. Měla by být navržena ad hoc strategie pro přistupující země zaměřená na přípravu na přeshraniční výměnu citlivých údajů, včetně možnosti, aby se přistupující země jakožto pozorovatelé účastnily určitých činností zemí ENISA. Ty by měly být hodnoceny podle své ochoty bojovat proti kyberkriminalitě. Zároveň by se dalo zvážit vypracování černé listiny.

4.3.2. EHSV vítá zavedení kybernetické obrany v plánované druhé fázi případného budoucího odborného střediska EU pro kybernetickou bezpečnost. Z tohoto důvodu by Evropa mohla prozatím usilovat o rozvoj odborných způsobilostí dvojího užití, mj. využitím evropského fondu pro obranu a plánovaným vytvořením platformy pro odbornou přípravu a vzdělávání v oblasti kybernetické obrany do roku 2018. Vzhledem k navzájem uznávanému potenciálu a riziku považuje EHSV za nutné rozvinout spolupráci mezi EU a NATO, přičemž evropský průmysl by měl také pozorně sledovat vývoj spolupráce mezi EU a NATO v oblasti posílení interoperability norem kybernetické bezpečnosti i další formy spolupráce v rámci přístupu EU ke kybernetické obraně.

4.4. Rámec EU pro certifikaci

4.4.1. EHSV je přesvědčen, že Evropa musí čelit problému roztříštěnosti v oblasti kybernetické bezpečnosti prostřednictvím jednotného výkladu pravidel, včetně vzájemného uznávání mezi členskými státy na základě jednotného zastřešujícího předpisu, což usnadní ochranu jednotného digitálního trhu. Rámec pro certifikaci by mohl být společným základem (v případě potřeby s konkrétními předpisy na vyšších úrovních), který zajistí součinnost napříč vertikálními odvětvími a omezí stávající roztříštěnost.

4.4.2. EHSV vítá vytvoření rámce EU pro certifikaci kybernetické bezpečnosti a systémy certifikace pro jednotlivá odvětví, založené na odpovídajících požadavcích a vytvořené ve spolupráci s hlavními zainteresovanými stranami. Je však třeba zohlednit klíčové aspekty, jako je doba potřebná pro uvedení na trh a náklady certifikace, kvalita a bezpečnost. Na základě stávajících potřeb a zjištěných rizik budou zavedeny systémy certifikace bezpečnosti s cílem zvýšit bezpečnost, přičemž je třeba se zamyslet nad flexibilitou těchto systémů a možností jejich dalšího rozvíjení, aby bylo možné je v případě potřeby aktualizovat. K jednotlivým odvětvím je třeba uplatnit odlišný přístup podle způsobu jejich fungování. EHSV je proto přesvědčen, že by do tohoto procesu měly být zapojeny odvětvové agentury EU (EASA, EBA, ERA, EMA atd.) a v některých případech by – po dohodě s agenturou ENISA a s cílem předejít zdvojování úsilí a nedostatečné soudržnosti – měly být pověřeny vypracováním systému kybernetické bezpečnosti.

4.4.3. Podle názoru Výboru je třeba založit rámec pro certifikaci na obecně formulovaných evropských normách pro kybernetickou bezpečnost a informační a komunikační technologie, které budou pokud možno mezinárodně uznávané. Vzhledem k časovému harmonogramu a výsadám členských států by ve spolupráci s CEN/CENELEC/ETSI měly být přijaty minimální evropské normy pro bezpečnost v oblasti IT. Profesní normy by měly být formulovány pozitivně, neměly by však být právně závazné ani bránit hospodářské soutěži.

4.4.4. Je jednoznačně třeba přiřadit závazky k příslušným stupňům spolehlivosti v závislosti na dosahu hrozeb. Zahájení dialogu s pojišťovnami by mohlo napomoci přijímání účinných požadavků v oblasti kybernetické bezpečnosti podle odvětví použití. Podle názoru EHSV by se mělo podnikům, které usilují o „vysokou míru spolehlivosti“, dostat podpory a měly by pro ně být vytvořeny pobídky, zejména pokud jde o životně důležitá zařízení a systémy.

4.4.5. Vzhledem k době, která uběhla od přijetí směrnice 85/374/EHS ( 9 ) , a s ohledem na stávající technologický vývoj vyzývá EHSV Komisi, aby prozkoumala, zda by nebylo vhodné zahrnout některé scénáře, jež jsou uvedeny v tomto návrhu nařízení, do oblasti působnosti směrnice s cílem zajistit bezpečnější výrobky s vysokou úrovní ochrany.

4.4.6. Podle EHSV by plánovaná Evropská skupina pro certifikaci kybernetické bezpečnosti, jíž bude pomáhat Agentura Evropské unie pro bezpečnost sítí a informací (ENISA), měla být složena z vnitrostátních orgánů dozoru nad certifikací, zainteresovaných stran ze soukromého sektoru a hospodářských subjektů z různých oblastí uplatňování, aby byl zaručen rozvoj komplexních systémů certifikace. Kromě toho je třeba zvážit možnosti spolupráce této skupiny se sdruženími zastupujícími jednotlivá odvětví v rámci EU/EHP (např. smluvní partnerství veřejného a soukromého sektoru, bankovnictví, dopravy, energetika, svazy atd.), prostřednictvím jmenování odborníků. Tato skupina by měla být schopna posoudit evropské úspěchy v oblasti certifikace (především na základě dohody „Skupiny vyšších úředníků – bezpečnost informačních systémů“ o vzájemném uznávání a na základě vnitrostátních systémů a systémů ochrany vlastnictví) a měla by usilovat o zachování konkurenčních výhod Evropy.

4.4.7. EHSV navrhuje, aby této skupině zainteresovaných stran byla společně s Evropskou komisí svěřena odpovědnost za společnou přípravu systému certifikace. Rovněž by měly být prostřednictvím konsensuální dohody mezi veřejnými a soukromými zainteresovanými stranami (uživateli a dodavateli) přesně stanoveny odvětvové požadavky.

4.4.8. Kromě toho by tato skupina měla pravidelně provádět přezkum systémů certifikace s ohledem na požadavky jednotlivých odvětví a v případě potřeby i jejich úpravy.

4.4.9. EHSV podporuje, aby po zavedení evropského systému byly vnitrostátní systémy certifikace postupně zrušeny, jak vyplývá z článku 49 nařízení. Jednotný trh nemůže fungovat při existenci rozdílných a protichůdných vnitrostátních předpisů. Za tímto účelem EHSV navrhuje provést soupis všech vnitrostátních systémů.

4.4.10. EHSV doporučuje, aby Komise přijala opatření k podpoře certifikace a certifikátů kybernetické bezpečnosti v EU a prosazovala jejich uznávání ve všech mezinárodních obchodních dohodách.

4.5. AGENTURA ENISA

4.5.1. EHSV se domnívá, že nový trvalý mandát agentury ENISA, jak jej navrhuje Komise, významně přispěje k posílení odolnosti evropských systémů. Příslušný předběžný rozpočet a prostředky přidělené reformované agentuře ENISA by však nemusely být pro plnění jejího mandátu dostatečné.

4.5.2. EHSV vyzývá všechny členské státy, aby ustavily orgán, který by byl jednoznačným a obdobným protějškem agentury ENISA, neboť většina z nich tak dosud neučinila. Měl by být propagován strukturovaný program vysílání národních odborníků do agentury ENISA s cílem podporovat výměnu osvědčených postupů a posilovat důvěru. Dále Výbor doporučuje, aby Komise zajistila shromažďování a sdílení stávajících osvědčených postupů a účinných opatření přijatých v členských státech.

4.5.3. EHSV se rovněž domnívá, že z hlediska budování kapacit by agentura ENISA měla upřednostňovat opatření podporující elektronickou veřejnou správu ( 10 ) . Klíčový význam má digitální identita osob, organizací, podniků a předmětů v EU i na celém světě, přičemž prioritou by měla být prevence zneužití totožnosti a podvodů on-line a boj proti nim a proti krádežím průmyslového duševního vlastnictví.

4.5.4. Agentura ENISA by měla rovněž vypracovávat pravidelné zprávy o kybernetické připravenosti členských států zaměřené především na odvětví uvedená v příloze II směrnice o bezpečnosti sítí a informací. Připravenost členských států a účinnost evropského mechanismu reakce na kybernetickou krizi by měly být prověřovány v rámci každoročního evropského kybernetického cvičení, z jehož výsledků by měla být vyvozena doporučení.

4.5.5. EHSV se obává, že zdroje na operační spolupráci, včetně sítě CSIRT, jsou příliš omezené.

4.5.6. Pokud jde o úkoly související s trhem, EHSV se domnívá, že posílení spolupráce s členskými státy a vytvoření formální sítě agentur pro kybernetickou bezpečnost by pomohlo podpořit spolupráci mezi zainteresovanými stranami ( 11 ) . Doba potřebná pro uvedení na trh je velmi krátká a pro podniky v EU je velmi důležité obstát v hospodářské soutěži v této oblasti, přičemž agentura ENISA musí výt schopná reagovat v souladu s těmito potřebami. EHSV se domnívá, že agentura ENISA by mohla – stejně jako další agentury EU – v budoucnu zavést systém výběru poplatků. EHSV je znepokojen tím, že soupeření o odborné způsobilosti mezi agenturami EU a vnitrostátními agenturami by mohlo, jak tomu v minulosti bylo v jiných oblastech, zpozdit řádné vytvoření regulačního rámce EU a poškodit jednotný trh EU.

4.5.7. EHSV konstatuje, že úkoly související s výzkumem a inovacemi a s mezinárodní spoluprací jsou v současnosti minimální.

4.5.8. EHSV se domnívá, že kybernetická bezpečnost by měla být jedním z pravidelných bodů jednání při pravidelných společných schůzích agentur pro oblast spravedlnosti a vnitřních věcí a že ENISA a Europol by měly pravidelně spolupracovat.

4.5.9. Vzhledem k tomu, že kybernetický svět je velmi inovativní, je třeba pečlivě zvažovat normy tak, aby se nestaly překážkou inovací, což vyžaduje dynamický rámec. V zájmu ochrany investic občanů i podniků je třeba zaručit co největší budoucí i zpětnou kompatibilitu.

4.5.10. Vzhledem k významu vnitrostátních orgánů dozoru nad certifikací EHSV navrhuje, aby toto nařízení již vytvořilo formální síť orgánů pověřených řešením přeshraničních problémů s podporou agentury ENISA. Tato síť by se v pozdější fázi mohla přeměnit na jedinou agenturu.

4.5.11. Důvěra je zásadní, ale agentura ENISA nemůže vydávat rozhodnutí ani zprávy o auditu. EHSV je toho názoru, že agentura by jménem Komise měla monitorovat výkon a rozhodování vnitrostátních orgánů dozoru nad certifikací prostřednictvím auditů a kontrol.

4.5.12. Průmyslové a spotřebitelské organizace by měly mít možnost účastnit se zasedání správní rady agentury ENISA jakožto pozorovatelé.

4.6. Průmysl, malé a střední podniky, financování/investice a inovativní podnikatelské modely

4.6.1. Průmysl a investice

V zájmu zvýšení celosvětové konkurenceschopnosti podniků EU působících v oblasti informačních a komunikačních technologií musí být opatření zaměřena na zlepšení podpory růstu a konkurenceschopnosti odvětví informačních a komunikačních technologií, včetně malých a středních podniků.

Evropa by měla zvýšit investice tím, že se jednotlivé fondy EU, vnitrostátní fondy a investice soukromého sektoru zaměří na dosažení strategických cílů na základě silné spolupráce veřejného a soukromého sektoru. Měly by být zvýšeny investice do kritických oblastí a k jejich podpoře by měl být vytvořen fond EU pro kybernetickou bezpečnost určený na inovace a výzkum a vývoj v rámci současného i budoucího rámcového programu pro výzkum. Evropa by dále měla vytvořit fond pro rozvoj kybernetické bezpečnosti, který poskytne nové možnosti financování z prostředků stávajícího i budoucího nástroje pro propojení Evropy i příštího EFSI 3.0.

Měly by být vytvořeny pobídky pro členské státy EU, aby, je-li to možné, kupovaly evropská řešení a vybíraly, pokud existují, evropské dodavatele, zejména v případě citlivých aplikací. Evropa by měla podpořit růst evropských kybernetických společností, které jsou „mistry“ v oboru a mohou obstát v hospodářské soutěži na celosvětovém trhu.

4.6.2. Malé a střední podniky

Vzhledem k roztříštěnosti trhu je zapotřebí vyjasnit situaci ohledně poptávky zákazníků s cílem lépe reagovat na vývoj na trhu. Strukturovaná poptávka je jedním z nezbytných předpokladů rychlého tempa růstu malých a středních podniků a začínajících podniků. V této souvislosti by bylo přínosným krokem vytvoření evropského centra pro kybernetickou bezpečnost malých a středních podniků.

Technologie v oblasti kybernetické bezpečnosti se rychle mění a malé a střední podniky mohou díky své pružnosti zajistit potřebná nejmodernější řešení, která jim umožní zachovat si konkurenceschopnost. Na rozdíl od třetích zemí EU stále nenašla vhodný podnikatelský model pro malé a střední podniky.

Mohly by být navrženy konkrétní programy pro začínající podniky a malé a střední podniky, které by jim pomohly pokrýt náklady spojené s certifikací a umožnily by jim překonat obrovské obtíže, jimž čelí při získávání finančních prostředků pro svůj technologický a obchodní rozvoj.

4.7. Lidský faktor: vzdělávání a ochrana

4.7.1. EHSV konstatuje, že návrh Komise dostatečně nezohledňuje člověka jako hnací sílu digitálních procesů, a to ani coby příjemce, ani příčiny hlavních kybernetických incidentů.

4.7.2. Je třeba vybudovat silnou základnu kybernetických dovedností a zlepšit „kybernetickou hygienu“ i informovanost jednotlivců a podniků. V zájmu dosažení tohoto výsledku je třeba zvážit odpovídající investice, dobu potřebnou k odborné přípravě instruktorů na vysoké úrovni a účinné osvětové kampaně. Provádění těchto tří linií opatření vyžaduje kolektivní přístup za účasti vnitrostátních a regionálních orgánů (odpovědných za zavedení účinných vzdělávacích programů a za investice do těchto programů), podniků a malých a středních podniků.

4.7.3. Mělo by se počítat s vytvořením případného vzdělávacího programu pro střední školy a odborníky s certifikací EU, na němž by se aktivně podílela agentura ENISA a její vnitrostátní protějšky. Při přípravě vzdělávacích programů je kromě toho třeba zohlednit rovnost žen a mužů, aby byl vyrovnán poměr jejich zaměstnanosti v odvětví kybernetické bezpečnosti.

4.7.4. EHSV se domnívá, že by certifikační úsilí mělo zahrnovat vhodný systém označování pro hardware i software, jako je tomu v případě mnoha jiných produktů (např. energetických výrobků). Tento nástroj bude mít tři výhody: sníží náklady pro podniky, zamezí stávající roztříštěnosti trhu z důvodu existence různých systémů certifikace na úrovni jednotlivých zemí a umožní spotřebitelům lépe pochopit kvalitu a vlastnosti zakoupeného předmětu. V této souvislosti je důležité, aby mechanismům certifikace a označování podléhaly i produkty dovážené ze třetích zemí. EHSV se v neposlední řadě domnívá, že by mohlo být účelné vytvoření zvláštního loga, podle něhož by byli spotřebitelé a uživatelé okamžitě informováni o spolehlivosti zakoupených produktů nebo stránek, na nichž se provádějí obchodní transakce nebo jejichž prostřednictvím se předávají citlivé údaje.

4.7.5. Agentura ENISA by měla nést odpovědnost za zásadní informační a osvětovou víceúrovňovou činnost s cílem zvýšit povědomí o „bezpečném“ digitálním chování a důvěru uživatelů v internet. Do tohoto úsilí musí být zapojeny organizace podniků, sdružení spotřebitelů a další subjekty působící v oblasti digitálních služeb.

4.7.6. Jako doplnění aktu o kybernetické bezpečnosti považuje EHSV v souladu s tím, co již navrhl ve stanovisku INT/828, za zásadně důležité, aby byl co nejdříve zahájen rozsáhlý evropský program zaměřený na vzdělávání a odbornou přípravu v digitální oblasti, aby byly všem občanům poskytnuty nástroje k lepšímu zvládnutí tohoto přechodu. EHSV, který si uvědomuje zvláštní vnitrostátní pravomoci v této oblasti, zejména doufá, že tento program započne ve školách – posílením znalostí pedagogů, uzpůsobením studijních programů a didaktiky digitálních technologií (včetně elektronického učení) a poskytne všem studentům kvalitní vzdělávání. Tento program bude mít své přirozené rozšíření do průběžného dalšího vzdělávání, které přizpůsobí a aktualizuje schopnosti všech pracovníků ( 12 )

5. Konkrétní připomínky

5.1. Vznikající technologie a řešení: případ internetu věcí

Počet připojených zařízení neustále roste a očekává se, že kvůli digitalizaci složek, systémů a řešení a díky lepším možnostem připojení několikanásobně přesáhne počet lidí žijících na zemi. Tento trend vytváří nové příležitosti pro pachatele kybernetické trestné činnosti, a to zejména proto, že zařízení internetu věcí často nemívají stejnou úroveň ochrany jako tradiční zařízení.

Evropské bezpečnostní normy v různých vertikálních oblastech využívajících zařízení internetu věcí mohou všem odvětvovým článkům hodnotového řetězce připojených produktů zajistit úspory z hlediska úsilí, času a rozpočtu vynakládaného na vývoj.

Určitá forma minimální úrovně zabezpečení prostřednictvím správy identit a přístupu (Identity and Access Management), opravy chyb či správy zařízení bude pravděpodobně pro „běžná“ zařízení internetu lidí nezbytná. Jelikož je certifikace klíčovým způsobem zajištění vyšší úrovně bezpečnosti, měl by být na bezpečnost internetu věcí v rámci nového přístupu k certifikaci EU kladen větší důraz.

V Bruselu dne 14. února 2018. předseda Evropského hospodářského a sociálního výboru Georges DASSIS

(1) Strategie pro jednotný digitální trh – Přezkum v polovině období.

(2) JOIN(2017) 450 final.

(3) Pracovní dokument útvarů Komise Impact Assessment, accompanying the Proposal for a Regulation of the European Parliament and of the Council (Posouzení dopadů: průvodní dokument návrhu nařízení Evropského parlamentu a Rady), část 1/6, s. 21, Brusel, 13. září 2017.

(4) Special Eurobarometer 464a – Wave EB87.4 – Europeans' attitudes towards cyber security (Zvláštní průzkum Eurobarometr 464a – řada EB87.4 – Postoj evropských občanů ke kybernetické bezpečnosti), září 2017.

(5) Závěry Evropské rady ze dne 19. října 2017.

(6) Usnesení EP ze dne 17. května 2017 – A8-0176/2017.

(7) Strategie pro jednotný digitální trh – Přezkum v polovině období,.Úř. věst. C 75, 10.3.2017, s. 124, Úř. věst. C 246, 28.7.2017, s. 8, Úř. věst. C 345, 13.10.2017, s. 52, Úř. věst. C 288, 31.8.2017, s. 62, Úř. věst. C 271, 19.9.2013, s. 133.

(8) Tisková zpráva EHSV č. 31/2017 o diskusi občanské společnosti o elektronické veřejné správě a kybernetické bezpečnosti během budoucího estonského předsednictví: https://www.eesc.europa.eu/en/news-media/press-releases/civil-society-debates-e-government-and-cybersecurity-incoming-estonianpresidency.

(9) Úř. věst. L 210, 7.8.1985, s. 29 zvláštní vydání v českém jazyce: kapitola 15 svazek 001, s. 257).

(10) Strategie pro jednotný digitální trh – Přezkum v polovině období.

(11) Úř. věst. C 75, 10.3.2017, s. 124.

(12) Strategie pro jednotný digitální trh – Přezkum v polovině období.