Det Økonomiske og Sociale Udvalgs udtalelse om "Meddelelse fra Kommissionen til Rådet, Europa-Parlamentet, Det Økonomiske og Sociale Udvalg og Regionsudvalget om Net- og Informationssikkerhed: Forslag til en europæisk strategi"

(2002/C 48/07)

Kommissionen for De Europæiske Fællesskaber besluttede den 7. juni 2001 under henvisning til EF-traktatens artikel 262 at anmode om Det Økonomiske og Sociale Udvalgs udtalelse om det ovennævnte emne.

Det forberedende arbejde henvistes til ØSU's Sektion for Transport, Energi, Infrastruktur og Informationssamfundet, som udpegede Daniel Retureau til ordfører. Sektionen vedtog sin udtalelse den 6. november 2001.

Det Økonomiske og Sociale Udvalg vedtog på sin 386. plenarforsamling af 28. og 29. november 2001, mødet den 28. november 2001, følgende udtalelse med 113 stemmer for, 2 imod og 3 hverken for eller imod.

1. Indledning

1.1. Udviklingen af interne netværk i virksomheder, offentlige forvaltninger og andre organer samt nævnte instansers og privatpersoners opkobling til Internettet fortsætter med eksplosionsagtig fart. Mætningspunktet ville være nået, hvis ikke det havde været for den nært forestående udvikling inden for internetadresser(1) og den igangværende etablering af et nyt system for tildeling af topdomænenavne.

1.2. Samfundet, økonomien, den offentlige forvaltning, den nationale, civile og militære sikkerhed er blevet stadig mere afhængig af, at netværkene og deres sammenkoblinger fungerer godt og pålideligt, af båndbredden, af de indeholdte oplysningers integritet og i visse tilfælde af dataenes fortrolighed og muligheden for præcist at identificere de involverede personer.

1.3. Sikkerheden omkring netværk og kommunikation er blevet et strategisk spørgsmål af allerstørste betydning, som nødvendiggør en koordineret og sammenhængende politik i EU-landene og på globalt plan.

1.4. Kommissionen foretager i sin meddelelse en meget grundig og efter ØSU's opfattelse velunderbygget problem- og situationsanalyse, som ledsages af konkrete handlingsforslag.

2. Kommissionens forslag

2.1. Kommissionens meddelelse tager sigte på at fastlægge en fælles tilgang til spørgsmål om netsikkerhed og dataoverførsel i EU. Det drejer sig om at sikre et ensartet sikkerhedsniveau i medlemslandene, interoperabilitet mellem de forskellige systemer, de nødvendige offentlige sikkerhedstiltag på Internettet og medlemsstaternes regulerende funktion.

2.2. Man skal garantere et vist minimum af sikkerhed i forbindelse med selve netværket, privatpersoners opkoblinger til Internettet samt netværks indbyrdes sammenkobling, og man skal udvikle en sikkerhedskultur for at gøre alle bevidste om de problemer og løsningsmuligheder, der findes.

2.3. Det svageste led i kæden er afgørende for sikkerheden i det samlede system, og kravene til beskyttelsen stiger i takt med fremkomsten af højhastighedsforbindelser (ADSL, kabel) og permanente internettilslutninger, herunder for privatpersoner. Inden for elektronisk handel er det nødvendigt at beskytte persondata og forbrugernes betalingsdata, og i takt med udviklingen af e-forvaltning øges behovet for at beskytte borgernes personlige data.

2.4. En tilstrækkeligt harmoniseret strafferamme er ligeledes nødvendig, så uautoriseret indtrængen, misbrug af data og informationer, hackeres overtagelse af kontrollen med nettet eller forsætlig virusspredning defineres og sanktioneres på ensartet måde i medlemslandene.

2.5. Kommissionen foreslår, at man opretter et europæisk varslings- og informationssystem, og understreger, at der er behov for uddannelse og oplysning i virksomheder og for private brugere. Dette er faktisk et centralt element i meddelelsen.

2.6. Et andet centralt element i meddelelsen er spørgsmålet om beskyttelse af privatlivets fred og personoplysningers fortrolighed for alle borgere og forbrugere.

3. ØSU's bemærkninger

3.1. Generelle bemærkninger

3.1.1. ØSU kan fuldt ud tilslutte sig analyserne og argumenterne for en EU-politik for net- og informationssikkerhed. Det mener, at de foreslåede tiltag generelt er relevante, men ønsker dog at fremsætte enkelte specifikke bemærkninger og forslag.

3.1.2. Da Internettet blev udviklet, sigtede det ikke mod elektronisk handel, kontrakter, salg af ophavsretligt beskyttede produkter (musik, billeder og film) eller kapitaloverførsler og andre økonomiske transaktioner, som kræver særlige sikkerhedsforanstaltninger. Internettet blev oprindeligt anvendt i militærregi, hvor det var tilstrækkeligt med kryptering med lange koder, og i universitetsregi, hvor forskningsresultater eller videnskabelige databaser kunne publiceres uden kryptering. Af hensyn til den nationale sikkerhed var der i en række lande, for det meste tredjelande, frem til år 2000 forbud mod, at privatpersoner anvendte "stærk" kryptering, ligesom det var forbudt at eksportere visse programmer. Kommissionen har heldigvis givet impulser til udvikling og markedsføring af sikkerhedsværktøjer, som er uundværlige for virksomheder og forvaltninger i forbindelse med online-overførsel af fortrolige data.

3.1.3. Udviklingen gik derefter i retning af en næsten "anarkistisk" anvendelse af Internettet, spændende fra handelsmæssige, finansielle, teknologiske og industrielle anvendelser over spil til pornografiske websteder. Sidstnævnte er kilde til betydelige indtægter og har sammen med online-spil medført væsentlige teknologiske fremskridt, især inden for billedkvalitet, højhastighedssystemer og sikre (anonyme som ikke-anonyme) betalingssystemer.

3.1.4. Alle disse måder at anvende Internettet på eksisterer fortsat side om side, og andre anvendelsesmuligheder dukker op. De forskellige netværk og Internettet er imidlertid blevet stadig mere afgørende for, at samfundet og erhvervslivet kan fungere, og bidrager væsentligt til den sociale udvikling og den nationale sikkerhed. Det stiller krav om et sikkerhedsniveau, der er afpasset efter arten af overførte data og udførte operationer, som sikrer privatlivets fred, og som ikke rokker ved selve Internettets fundament, nemlig fri udbredelse af informationer og åben udveksling af data, idéer, videnskabelige resultater osv.

3.1.5. For ØSU er det vigtigt at sikre, at de vedtagne sikkerhedsforanstaltninger og omkostningerne ved dem er afpasset efter arten og omfanget af de data og operationer, der skal beskyttes, og de brugerkategorier, der er tale om.

3.1.6. ØSU er generelt enig i Kommissionens analyse af potentielle risici og løsningsforslag. ØSU deler også det synspunkt, at sikkerhed er en dynamisk faktor, som løbende skal tilpasses og justeres efter udviklingen inden for teknologi, software og risici. Derfor foreslår ØSU, at det samråd og den dialog med industri, brugere og sikkerhedsansvarlige, der lægges op til med denne meddelelse, får varig karakter eller i hvert fald føres regelmæssigt. Det organiserede civilsamfund bør også involveres som en fuldgyldig dialogpartner, fordi en net- og informationssikkerhedspolitik indvirker på nogle af borgernes grundlæggende rettigheder, på økonomiske og sociale aktiviteter og på den offentlige forvaltning.

3.1.7. ØSU har allerede i sine seneste udtalelser om "Computerrelateret kriminalitet"(2) og om "Beskyttelse af børn på Internettet"(3) tilkendegivet, hvilke hovedprincipper der bør lægges til grund for bekæmpelse af Internettets anvendelse til ulovlige eller kriminelle formål. ØSU afviser enhver form for censur, generel overvågning og hindringer for ytringsfrihed og fri kommunikation på det globale net. Det betyder dog ikke, at Internettet er hævet over loven.

3.1.8. ØSU mener, at private (for)brugeres sikkerhed i alle dens aspekter bør have en mere central plads i Kommissionens overvejelser og i EU's strategi. Selv om et virusangreb på en privatpersons computer ikke har store konsekvenser for økonomien eller den kollektive sikkerhed, forholder det sig desværre sådan, at visse masseangreb spredes via private brugere. Til tider er mediernes fremstilling af sådanne angreb sensationsprægede og helt ude af proportion med den reelle risiko, hvilket underminerer borgernes tillid til Internettets fordele og anvendelighed. Dette har en stærkt negativ indvirkning på udviklingspotentialet inden for e-handel og e-business generelt og på skabelsen af nye jobs.

3.1.9. Beskyttelse af privatlivets fred og personoplysninger er ganske vist de primære mål, men forbrugerne bør også beskyttes effektivt mod misbrug af deres personprofil via spionsoftware som spyware og web bugs eller med andre metoder. Praksis med spamming (massiv fremsendelse af uanmodet mail), som ofte er en følge af et sådant misbrug, bør der også sættes en effektiv stopper for. Denne form for indtrængen er ikke uden følger for ofrene(4).

3.1.10. Beskyttelse af privatlivets fred skal omfatte alle personer i handels- og erhvervssektoren, herunder også lønmodtagere og andre medarbejdere i en virksomhed. Interne sikkerhedsregler bør gøres til genstand for forhandling mellem arbejdsmarkedets parter, og alle i en virksomhed bør være bekendt med dem. I den forbindelse skal det pågældende medlemslands love og retspraksis respekteres. Det er meget vigtigt at sikre, at sådanne bestemmelser anvendes på ensartet vis, og at EU's charter om grundlæggende rettigheder fra Nice, Europarådets henstilling om privatlivets fred samt direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger tilgodeses.

3.1.11. Det er derfor nødvendigt at indføre mere effektive juridiske instrumenter, så private brugere og virksomheder kan kræve erstatning af operatører og softwareproducenter i tilfælde af alvorlige mangler i datasikkerheden eller -beskyttelsen, som de kan drages til ansvar for i medfør af reglerne om produktansvar(5).

3.1.12. Efter ØSU's opfattelse burde Kommissionen i højere grad være og gøre opmærksom på de ressource- og beskyttelsesmæssige fordele, der er knyttet til "open source"-software, dvs. gratis operativsystemer og net- og kommunikationssoftware, som frit kan ændres af brugerne. "Open source"-programmører er meget hurtige til at korrigere fejl og problemer, og en stor erhvervssektor inden for virksomhedsservice er bygget op omkring dette koncept med støtte fra visse giganter inden for dataindustrien. Der er mange servere overalt i verden, som generelt fungerer sikkert og stabilt med denne form for software, hvorimod det hænder, at fejl i beskyttet software først korrigeres med en vis forsinkelse til skade for brugerne, eller at nye versioner med nye funktioner sendes for hurtigt på markedet. Konkurrencemæssige hensyn eller et altoverskyggende ønske om innovation prioriteres til tider højere end hensynet til sikkerheden, som bør forbedres af alle producenter af såvel beskyttet som gratis software. Sikkerheden skal medtænkes allerede i udviklingsfasen og således være en integreret del af produkterne.

3.1.13. Desuden yder netop ophavsretligt beskyttede operativsystemer og programmer, hvis kildekode ikke er offentliggjort, ikke tilstrækkelig garanti for sikkerhed og beskyttelse af privatlivet, især ikke, hvis man foretager licensregistrering via Internettet eller downloader patches (til at rette fejl og installere opdateringer), som kan misbruges til at samle oplysninger om klient- og serversystemer (konfiguration og indhold, adresselister og opkoblinger). Alt ud over en simpel registrering af navn og adresse på indehaveren af softwarelicensen for at kunne give vedkommende en aktiveringsnøgle eller en midlertidig adgangskode til serviceydelser er efter ØSU's opfattelse uberettiget indtrængen og derfor bør forbydes.

3.1.14. Gratis software (freeware) sikrer også en sund konkurrence over for monopolistiske tendenser på softwaremarkedet og på markedet for nettjenester, der er i hastig udvikling.

3.1.15. Man bør anerkende og respektere GPL-konceptet(6). ØSU mener, at man bør udarbejde specifikke regler om ophavsret for software og indhold, som man har adgang til eller kan udveksle via Internettet. Det er alt for nemt f.eks. at anvende varemærkelovgivningen til at lægge hindringer i vejen for forbrugernes og lønmodtagernes ytringsfrihed i forbindelse med en virksomheds politik, praksis, varer eller serviceydelser. Der synes at være problemer med patent- og varemærkerettens anvendelse i forbindelse med udviklingen på netområdet. Der er derfor behov for specifikke beskyttelsesregler, som endnu ikke er på plads.

3.1.16. Da forsøg på at opfange, kontrollere eller stjæle følsomme data primært er rettet mod militære net, administrative net og virksomhedsnet, opfordrer ØSU EU's institutioner og medlemsstaterne til at stå sammen om at bekæmpe ethvert forsøg på at opfange data og trænge ind i datasystemer med henblik på militær, industriel eller handelsmæssig spionage, som er et anslag mod EU's strategiske og økonomiske interesser.

3.1.17. Sikkerhedsforanstaltninger, overvågning af adgang, interne regler og protokoller og materielredundans (hardware, som tolererer driftssvigt; mirror og proxy sites; hyppig backup og lagring af data på eksterne medier) kræver passende soft- og hardware og løbende overvågning og opdatering, som skal foretages af højtkvalificerede personer. Der er således tale om dyre løsninger. På grund af utilstrækkelig teknisk indsigt, manglende bevidsthed om problemerne og begrænsede finansielle ressourcer, specielt når det drejer sig om SMV'er, er det meget vanskeligt for offentlige og private virksomheder og for den offentlige forvaltning at implementere sådanne foranstaltninger. De forskellige advarsels- og informationsteams bør være veludrustede og tage højde for SMV-sektorens behov.

3.2. Særlige bemærkninger

3.2.1. Særlige bemærkninger vedrørende risici og tiltag til imødegåelse heraf

3.2.1.1. Beskyttelse af privatlivets fred og bekæmpelse af internetkriminalitet og spionage

3.2.1.1.1. Det kan kun bifaldes, at Kommissionen prioriterer beskyttelsen af privatlivets fred og personoplysninger meget højt i sit strategiforslag. Beskyttelse af grundlæggende rettigheder og fri adgang til oplysninger og udveksling heraf bør være kernen i enhver strategi for beskyttelse af data og kommunikation, lige som der bør lægges vægt på at beskytte kollektive interesser, først og fremmest den nationale sikkerhed, og på at sikre, at de demokratiske institutioner og offentlige forvaltninger kan fungere uden problemer. ØSU er enig i, at man bør udvikle og tilpasse tiltag med dette for øje, hvad enten midlet er lovgivning, samarbejde, forskning eller standardisering.

3.2.1.1.2. Muligheden for lovlig opfangning af kommunikation under overholdelse af relevante retsprocedurer skal fastholdes, men stærk kryptering kan umuliggøre dekryptering af meddelelserne. Den organiserede kriminalitet anvender yderst moderne og sikre midler til at beskytte sin kommunikation. Man bør derfor udvikle et juridisk og teknologisk samarbejde på EU-plan til bekæmpelse af organiseret kriminalitet og terrorisme, således som ØSU har fremhævet i udtalelserne om kampen mod hvidvaskning af penge og mod computerrelateret kriminalitet(7).

3.2.1.1.3. I forbindelse med konkurrencepolitikken er det ligeledes væsentligt at overvåge koncentrationen og monopoliseringen af indholdet på Internettet (information, kultur osv.), og internetkanalernes forskellige segmenter. Kommissionen burde også etablere en "netstyrelse", som er virkelig gennemsigtig og mere repræsentativ for de nuværende 370 millioner brugere, idet den eksisterende flerledede "styrelse" fortsat er koncentreret i Nordamerika og nøje overvåges af USA's handelsministerium, særlig i forbindelse med tildelingen af domænenavne og valg af registrars(8).

3.2.1.1.4. For at sikre kunderne den beskyttelse af privatlivets fred og fortrolighed, de har krav på, bør operatørerne effektivt kunne garantere, at de redskaber, som anvendes til at overvåge deres installationer og til kryptering af meddelelser, står i et rimeligt forhold til betydningen og omfanget af de rettigheder, der skal beskyttes, og er fuldt på linje med den teknologiske udvikling. Det er de i øvrigt forpligtet til i medfør af direktiv 97/66/EF(9).

3.2.1.1.5. Brugerne bør være i stand til at foretage en tilstrækkelig sikker kryptering af følsomme data, som de måtte overføre via Internettet, men de ved generelt meget lidt om, hvilke instrumenter der er egnede, og hvordan de anvendes. For at imødekomme de stigende behov for kryptering og sikkerhed vil det være nødvendigt at uddanne et tilstrækkeligt antal specialister.

3.2.1.1.6. Indtrængen i computere og netværk uanset formålet (intellektuel udfordring, personlig hævn eller et ønske om at skade, tyveri af oplysninger eller overtagelse af kontrol) og spredning af computervirus udgør en trussel mod brugernes rettigheder og interesser og mod de forskellige datas, informationers og netværks integritet.

3.2.1.1.7. ØSU er helt enig med Kommissionen i, at visse typer indtrængen kan volde store skader, som i visse tilfælde kulminerer i en hemmelig overtagelse af systemet. Efter ØSU's opfattelse er det imidlertid overdrevet at sidestille hackere, som ikke har kriminelle hensigter, men alene synliggør mangler i sikkerheden - hvilket giver mulighed for at rette op herpå - med personer, som bryder ind i systemer med ulovligt formål for øje (crackere). De strafferetlige bestemmelser, som Kommissionen måtte foreslå, skal stå i forhold til de potentielle forbrydelser og lovovertrædelser, som skal være nøje specificeret, og tage højde for den hensigt, der ligger bag.

3.2.1.2. Gældende fællesskabsret og disponible teknologier

3.2.1.2.1. I henhold til fællesskabsretten skal medlemsstaterne træffe alle nødvendige foranstaltninger for at sikre, at de offentlige net er disponible i tilfælde af netsammenbrud som følge af en naturkatastrofe (jf. samtrafikdirektivet 97/33/EF(10) og taletelefonidirektivet 98/10/EF(11)), men ØSU foreslår Kommissionen at iværksætte en komparativ undersøgelse af de trufne foranstaltninger i medlemsstaterne og deres effektivitet.

3.2.1.2.2. Bevidst urigtige erklæringer fremsat af fysiske eller juridiske personer kan forvolde skade, og i forbindelse med enhver vigtig transaktion er det nødvendigt at autentificere personerne og forvisse sig om rigtigheden af deres erklæringer.

3.2.1.2.3. SSL- og IPsec-protokollerne giver mulighed for at kommunikere via Internettet og åbne kanaler med et vist niveau af sikkerhed, men yder ikke en tilstrækkelig garanti. I direktivet om elektroniske signaturer(12) er det fastsat, at en tredjemand, "certificeringstjenesteudbyderen", kan tilbyde en sådan garanti.

3.2.1.2.4. Denne løsning er forbundet med samme problem som krypteringen - behovet for interoperabilitet og forvaltning af nøgler. I et VPN (virtual private network) er det muligt at tage leverandørspecifikke løsninger i brug. Derimod er der tale om en betydelig hindring for de offentlige netværk.

3.2.1.2.5. Derfor udgør direktivet om elektroniske signaturer retsgrundlaget og det primære instrument til at gøre brugen af elektronisk autentificering i EU nemmere.

3.2.1.3. Nye udfordringer, nye risici og en cost-benefit analyse

3.2.1.3.1. ØSU er enig i analysen af de nye udfordringer og de nye risici, der hænger sammen med den hurtige teknologiudvikling, det øgede antal og forskelligheden af adgangsterminaler samt den øgede fare for piratangreb med udbredelsen af permanent tilsluttede brugerterminaler med en fast adresse. ØSU støtter den tilgang, hvor man søger at forene sikkerhed og frihed, netbeskyttelse og beskyttelse af privatlivets fred og fortroligheden.

3.2.1.3.2. Værktøjer til sikrere kryptering har krævet en udvikling af lovgivningen for at tillade "stærk kryptering", men lovgivningen er til tider blevet forsinket meget af sikkerhedshensyn. Muligheden for at skjule meddelelser i billed- eller lydfiler (steganografi) gav dog i forvejen de personer, der ønskede at omgå loven uden at blive opdaget, mulighed for at skjule selve det faktum, at de sendte en krypteret meddelelse.

3.2.1.3.3. Adskillige algoritmer er i brug, og andre, mere sofistikerede er undervejs. Dette rejser store problemer med forvaltning af meddelelser, der er blevet krypteret med forskellige metoder af forskellige korrespondenter. En anbefaling af et fælleseuropæisk system ville ganske vist lette kommunikationen inden for det indre marked, men alligevel skabe problemer pga. de forskellige systemer, der findes i resten af verden. Dette fordyrer sikkerheden og forvaltningen heraf, også selv om visse effektive systemer er frit tilgængelige og gratis.

3.2.1.3.4. Omkostningerne ved ikke at træffe sikkerhedsforanstaltninger nu, hvor data af stadig mere følsom karakter er i omløb på Internettet, er imidlertid endnu højere. Sikkerhed vil også i en vis udstrækning blive en stadig mere integreret del af produkterne.

3.2.1.3.5. ØSU er positivt indstillet over for den EU-tilgang, som Kommissionen foreslår, men er også opmærksom på dens begrænsninger og på, at problemstillingen er så alvorlig, at offentlige tiltag er nødvendige for at afhjælpe markedets nuværende ufuldkommenheder.

3.2.1.3.6. Der findes allerede retlige sikkerhedsforanstaltninger i EU-direktiverne om databeskyttelse og i lovgivningen om telekommunikation. Disse foranstaltninger skal imidlertid gennemføres inden for et område i hastig udvikling, der omfatter teknologi, konkurrence, netkonvergens og globalisering, men af de årsager, der er beskrevet i meddelelsen, synes markedet at ville investere tilstrækkeligt i sikkerhed på trods af, at markedet for sikkerhedsprodukter er i hastig udvikling verden over.

3.2.1.3.7. Det er rigtigt, som fremhævet af Kommissionen, at markedet for sikkerhedsprodukter fortsat ikke er godt nok. Det er kun rentabelt at investere i sikkerhed, hvis et tilstrækkeligt antal personer tager samme skridt. Skal man finde en løsning, skal det derfor gøres i samarbejde. I det omfang man for en lang række produkters og tjenesteydelsers vedkommende fortsætter med at bruge leverandørspecifikke løsninger, bør man opfordre til, at der forskes i mere udbredte og sikrere standarder og i sikkerhedssystemers interoperabilitet. I ØSU's øjne er det bedre at fremme fastlæggelsen af "common criteria" på internationalt plan end at indføre certificerings-/autentificeringssystemer, som kan blive til ulempe for slutbrugeren.

3.2.1.3.8. For det første bør man sikre en effektiv gennemførelse af de gældende retlige bestemmelser på EU-plan. Den retlige ramme bør til enhver tid være relevant og effektiv og vil uundgåeligt skulle opdateres løbende.

3.2.1.3.9. For det andet sikrer markedskræfterne ikke i øjeblikket et tilstrækkeligt højt investeringsniveau inden for sikkerhedsteknologi og -praksis. De politiktiltag, som foreslås af Kommissionen, kan styrke markedsprocessen, som i øvrigt er begyndt at udvikle sig.

3.2.1.3.10. Endelig er kommunikations- og informationstjenester grænseoverskridende. Derfor er der behov for et EU-politikudspil, der kan sikre et indre marked for disse tjenester, udnytte fordelene ved fælles løsninger og gøre det muligt at handle mere effektivt på globalt plan.

3.2.1.3.11. ØSU er enig i, at investeringer i en bedre netsikkerhed genererer samfundsmæssige omkostninger og fordele, der ikke afspejles korrekt i markedspriserne. På omkostningssiden drages markedsaktørerne på nuværende tidspunkt ikke til ansvar for alle aspekter af deres sikkerhedsadfærd. Det er ØSU's vurdering, at der må gøres noget ved dette.

3.2.1.3.12. ØSU er også enig med Kommissionen i, at fordelene ved en bedre sikkerhed ikke fuldt ud afspejler sig i markedspriserne til trods for, at sikkerhedsinvesteringer foretaget af operatører, leverandører og tjenesteudbydere ikke alene er til gavn for deres kunder, men faktisk kommer hele økonomien og den generelle kommunikationssikkerhed til gode.

3.2.1.3.13. ØSU er ligeledes enig i, at brugerne ikke er opmærksomme på alle sikkerhedsrisici samtidig med, at mange operatører, sælgere og serviceudbydere har svært ved at evaluere forekomsten eller omfanget af svage punkter. Desuden tilbyder adskillige tjenester, applikationer og nye programmer attraktive funktioner, men disse kan udgøre en kilde til nye svagheder. Der burde være krav om, at produkterne skal gennemtestes grundigt, før de sendes på markedet.

3.2.2. Særlige bemærkninger til den foreslåede EU-strategi

3.2.2.1. ØSU er opmærksom på det globale netværks indbyggede sårbarhed, især i forbindelse med routing af datapakker, og det forhold, at den stadig stigende mængde af data i cirkulation ikke tillader en filtrering for generelt at øge sikkerheden uden for slutbrugerterminalerne. ØSU støtter generelt de handlingsforslag, der er indeholdt i den foreslåede politikramme.

3.2.3. Oplysning

3.2.3.1. De fremsatte forslag virker fornuftige, når det drejer sig om at gøre alle berørte personer og organisationer opmærksomme på problemstillingerne. Sikring af brugerterminaler og kommunikation er først og fremmest et spørgsmål om, at brugerne selv bliver sig problemerne bevidste og handler på et velinformeret grundlag.

3.2.4. Et hurtigt europæisk informationssystem

3.2.4.1. ØSU støtter forslaget om et hurtigt europæisk varslings- og informationssystem, som blotlægger problemerne og foreslår løsninger. Det tilslutter sig også Kommissionens øvrige forslag om analyse, varsling, spredning af oplysning og rådgivning samt europæisk og verdensomspændende samarbejde. Samtidig skal der udvikles infrastrukturer, der tilpasses EU som helhed, og som til enhver tid kan fungere effektivt sammen.

3.2.4.2. ØSU mener, at ikke alene virksomheder, men også forvaltninger og andre organer bør rapportere om angreb. ØSU har forståelse for, at muligheden for fortrolig rapportering om foretagne angreb vil gøre det nemmere at indhente feedback, men man skal holde sig for øje, at der altid vil lækkes oplysninger eller være hackere, der foretager offentlige afsløringer, og et forholdsvist hurtigt kendskab til angrebenes og bristernes art og især til de foranstaltninger, man har iværksat for at afhjælpe dem, ville i virkeligheden snarere skabe tillid i offentligheden.

3.2.4.3. Varslings- og alarmsystemer burde efter ØSU's opfattelse også dække information om brister i kommerciel eller gratis software samt enhver teknologisk eller anden faktor, der kunne tjene som indfaldsvej for eventuelle angreb. Systemet til tidlig varsling kunne varetage denne funktion samt sikre generel og teknologisk overvågning af hacker- og piratwebsteder tillige med diverse underground-publikationer, der omhandler metoder eller ligefrem offentliggør "gør det selv"-programmer, som gør det muligt selv at frembringe virus eller bryde ind i computersystemer, og som de såkaldte script kiddies gør brug af(13).

3.2.5. Teknologisk støtte

3.2.5.1. ØSU bifalder planerne om at støtte forskning. Det skal imidlertid erindre om, at kryptografi er en videnskab, der kun beherskes af højst et halvt hundrede eksperter i verden, hvoraf en stor del arbejder for NSA(14). Hvordan kan man holde på europæiske eksperter, som kan opbygge forskningen? Hvorledes skal man gribe sagen an i Europa? NSA er 10-15 år længere fremme i udviklingen og har beregnings- (og dekrypterings) midler til rådighed, som det vil blive vanskeligt at komme på højde med hurtigt. Hvilke konkrete - og nødvendigvis omfattende - midler vil man stille til rådighed for forskningen(15)?

3.2.5.2. Dette kunne suppleres med en politik, hvor man inddrager hackere og andre "uformelle" eksperter i stedet for at marginalisere eller straffe personer unødigt hårdt, selv om de ikke direkte skader andre mennesker eller samfundet, fordi man sammenblander deres handlinger med langt alvorligere handlinger, således som der er en tendens til i Europa. Man bør sikre, at pirat- og terrorhandlinger mod netværk straffes hårdt, men samtidig undgå at sidestille sådanne handlinger og forsøg på at finde sikkerhedsbrister, som har til formål at henlede softwareproducenternes eller netadministratorernes opmærksomhed herpå, så de kan forbedre sikkerheden, forudsat at hensigten med denne søgen efter sikkerhedsbrister ikke er at forvolde skade, som det f.eks. er tilfældet i forbindelse med sabotage, misbrug af fortrolige data, hemmelig udnyttelse af nettet, personlig vinding eller spredning af virus.

3.2.5.3. Offentliggørelse af fund af sikkerhedsbrister uden i god tid forinden at have underrettet de direkte berørte parter og uden deres accept heraf, er imidlertid en strafbar handling, der kan gøres til genstand for en strafferetlig tiltale, der står i et rimeligt forhold til handlingen. Personer, som ikke har gjort sig skyldige i kriminalitet eller en grov forseelse og heller ikke har været årsag til økonomisk tab, bør man imidlertid søge at holde på den rigtige side af loven, og man bør lade deres sagkundskab komme samfundet til gode. På den måde undgår man, at personer med disse sjældne kvalifikationer lader sig udnytte af kriminelle eller terrorister, fordi de marginaliseres eller behandles som kriminelle.

3.2.6. Støtte til markedsorienteret standardisering og certificering

3.2.6.1. ØSU er enig med Kommissionen i, at der er for mange standarder og konkurrerende systemer, hvilket hindrer sikkerheden og fremskridtene inden for elektroniske signaturer og sikker elektronisk betaling. Det understreger behovet for fælles standarder og fælles kriterier, så man undgår stivheder på markedet og hindringer for interoperabilitet.

3.2.6.2. ØSU støtter de foreslåede aktioner, men understreger, at de er forbundet med visse vanskeligheder, som hænger sammen med, at det nuværende styringsorgan for Internettet, som bl.a. fastlægger standarder, er et privat organ og ikke tilstrækkeligt repræsentativt. Der vil blive tale om en langsigtet arbejdsindsats, der vil kræve tålmodighed og samarbejde.

3.2.7. Retsgrundlag

3.2.7.1. ØSU støtter forslaget om, at de eksisterende lovrammer for telekommunikation og databeskyttelse skal suppleres med specifikke bestemmelser for netværk og Internettet.

3.2.7.2. De foreslåede aktioner er fornuftige, og ØSU støtter de initiativer, der er foreslået for at få fastlagt en harmoniseret strafferet og for at styrke medlemsstaternes strafferetlige samarbejde om bekæmpelse af internetkriminalitet, uden at der sættes spørgsmålstegn ved liberaliseringen af handelen med produkter til stærk kryptering, der er det eneste middel til at garantere en reel sikkerhed. Et civilt og handelsmæssigt samarbejde spiller ligeledes en væsentlig rolle i kampen mod internetkriminalitet (inden for finansielle kredsløb, skattesvig osv.).

3.2.7.3. Imidlertid burde spørgsmålet om et strafferetligt samarbejde efter ØSU's opfattelse også behandles på verdensplan, og den europæiske strategi på området burde indgå som indsatsområde i den foreslåede politiske ramme. Det er glædeligt, at Kommissionen inden for den nærmeste fremtid vil fremsætte et formelt forslag på området.

3.2.8. Sikkerhed i offentlige instanser

3.2.8.1. ØSU støtter de foreslåede aktioner, eftersom en betydelig del af de data, der behandles af de offentlige forvaltninger, er persondata, og den offentlige sektors websteder også kan blive udsat for terrorangreb eller indenrigs- og udenrigspolitisk begrundede angreb, således som virusangrebene Code Red (en polymorf virus) og Nimda viste for nylig. Kommissionen bør have disse angrebsmotiver in mente som en yderligere grund til løbende at sikre en øget sikkerhed på sine egne og medlemsstaternes websteder og officielle net.

3.2.9. Internationalt samarbejde

3.2.9.1. I ØSU's øjne er der tale om et vigtigt, men ømtåleligt og vanskeligt kapitel i den europæiske politik for net- og kommunikationssikkerhed, som rejser alvorlige problemer i relation til den interne solidaritet, den fælles udenrigs- og sikkerhedspolitik og styringen af forbundne net og Internettet.

3.2.9.2. Forslaget om tiltag inden for dette område, der sigter på at videreføre og udvikle samarbejdet i de forskellige internationale instanser om nettenes pålidelighed, er holdt i diplomatiske vendinger for ikke at støde nogen.

3.2.9.3. ØSU vurderer imidlertid, at man i relevante internationale instanser og som led i den transatlantiske dialog ligeledes bør følge op på debatten om sikkerhedsspørgsmål, interoperabilitet mellem krypteringsnøgler og -systemer og problemer omkring visse standarders eventuelle svagheder, som måske nok er kendte, men hvor oplysningerne tilbageholdes af en part. Det ville ligeledes være ønskeligt med et tæt samarbejde vedrørende det internationale omløb af persondata og et civil- og strafferetligt samarbejde rettet mod internetkriminalitet, dvs. et samarbejde om det globale nets sikkerhed og om en gennemsigtig og afbalanceret styring af dette verdensomspændende net, der i dag må siges at have stor strategisk betydning for dagligdagen og velfærden i vore samfund. OECD, som arbejder med spørgsmål vedrørende netsikkerhed, er en af de relevante internationale samarbejdsinstanser på området. Det haster med at nå frem til praktiske resultater på verdensplan.

3.2.9.4. Kommissionen foreslår, at der oprettes et EU-forum, der omfatter alle berørte aktører, og som skal drøfte samtlige problemstillinger og foreslå institutionerne løsninger. ØSU støtter dette særdeles væsentligt udspil.

4. Konklusioner

4.1. Der findes ganske effektive soft- og hardwareløsninger som dem, der er beskrevet i meddelelsen, og området er i konstant udvikling. I øvrigt kan en fils autenticitet også sikres, ved at man bruger en algoritme til digital mærkning af filen. Denne unikke mærkning viser, at den overførte fil ikke er blevet ændret undervejs.

4.2. Efter ØSU's opfattelse må essensen i enhver sikkerhedsstrategi imidlertid være at øge brugernes bevidsthed via oplysning og uddannelse. Uden en sådan oplysningsindsats, vil eksisterende værktøjer og løsninger ikke blive anvendt korrekt; det vil også øge tilliden til systemets overordnede pålidelighed, hvis alle systematisk træffer samtlige elementære sikkerhedsforanstaltninger, og hvis virksomhederne investerer det, der kræves for at sikre deres systemer.

4.3. Sikkerhed er imidlertid meget omkostningskrævende, og løsningernes manglende interoperabilitet udgør en væsentlig hindring. Det vil open source dog kunne afhjælpe ved at fremme konkurrencen og kappelysten.

4.4. Hvis disse problemer ikke løses hurtigt i EU og på internationalt plan - hvor EU bør deltage som fuldgyldig part i styringsorganet for Internettet - vil dette blive ved med at forsinke udviklingen af eEurope og elektronisk handel og betyde mindre effektiv ledelse af virksomheder, offentlige myndigheder og forvaltninger.

4.5. Af hensyn til sikkerheden i elektroniske net er det under alle omstændigheder nødvendigt, at effektive beskyttelses- og forsvarsforanstaltninger, der er gearet til formålet, vinder almindelig udbredelse, det være sig softwareløsninger for private brugere (antivirusprogrammer, der opdateres regelmæssigt) eller kombinerede løsninger, som er mere eller mindre svære at håndtere for andre brugere (så som firewalls, overvågning af porte til ekstern kommunikation, adskillelse (DMZ(16)), abonnentkredsløb og anden relevant soft- eller hardwareteknologi).

4.6. Afskrækkelse med egnede strafferetlige sanktioner er et nationalt anliggende, men ØSU mener, at det må være op til Kommissionen at foreslå en ensartet overordnet ramme for en strafferetlig EU-indfaldsvinkel på området og for et internationalt retligt samarbejde.

4.7. Markedsføringen af visse produkter, som har bevidst indbyggede bagdøre(17), og som det sommetider kan tage flere år at opdage, skal også medtages i overvejelserne og være genstand for sanktioner på samme måde som "spionsoftware" (spyware), som ofte er til stede i demonstrationssoftware, en del gratissoftware og visse online-licensregistreringssystemer.

4.8. Selv svagheder, som ikke nødvendigvis er indført forsætligt, kræver det tid at korrigere, og de vil i mellemtiden kunne udnyttes som bagdøre af personer, der har kendskab til området.

4.9. Uafhængige, upartiske og repræsentative nationale ad hoc-myndigheder, hvad enten det drejer sig om udbygning af eksisterende organers opgaver eller om nyoprettelse af organer, hvor de ikke findes i forvejen (f.eks. i ansøgerlande, som skal inddrages), bør holde sig orienteret om disse sikkerhedsproblemer, således at de kan bidrage til at formulere anbefalinger og standarder og til at beskytte de grundlæggende rettigheder. Lovgivningsprojekter under udarbejdelse bør i virkeligheden granskes omhyggeligt, således at hensynet til bekæmpelsen af terror kan forenes med hensynet til principperne om individets frihed, som skal fastholdes.

4.10. Efter ØSU's mening bør vi under alle omstændigheder fastholde et fleksibelt Internet, som der er let adgang til, og som tilbyder et "rum" med frihed til information og kommunikation i et åbent og demokratisk samfund. Men det skal samtidig gøres sikrere for de forskellige brugere at benytte den voksende mangfoldighed af lovlige anvendelser af de elektroniske net og Internettet.

Bruxelles, den 28. november 2001.

Göke Frerichs

Formand for

Det Økonomiske og Sociale Udvalg

(1) IPv6-norm, der giver mulighed for 6000 milliarder IP-adresser.

(2) Det Økonomiske og Sociale Udvalgs udtalelse om Meddelelse fra Kommissionen til Rådet, Europa-Parlamentet, Det Økonomiske og Sociale Udvalg og Regionsudvalget - Et sikrere informationssamfund: Højnelse af sikkerheden i informationsinfrastrukturerne og bekæmpelse af computerrelateret kriminalitet (CES 1115/2001) (endnu ikke offentliggjort i EFT).

(3) ØSU er i færd med at udarbejde en udtalelse om et program for beskyttelse af børn på Internettet.

(4) Se ØSU's udtalelser om adgang til elektroniske kommunikationsnet (EFT C 123 af 25.4.2001, s. 50), om elektronisk handel (EFT C 169 af 16.6.1999, s. 36) og om virkningerne af elektronisk handel på det indre marked (EFT C 123 af 25.4.2001, s. 1).

(5) ØSU-udtalelse: EFT C 117 af 26.4.2000, s. 1.

(6) "General public licence", offentlig licens, der anerkender ophavsretten til gratissoftware.

(7) ØSU er i færd med at udarbejde en udtalelse om et program for beskyttelse af børn på Internettet. Se ØSU's udtalelser om adgang til elektroniske kommunikationsnet (EFT C 123 af 25.4.2001, s. 50), om elektronisk handel (EFT C 169 af 16.6.1999, s. 36) og om virkningerne af elektronisk handel på det indre marked (EFT C 123 af 25.4.2001, s. 1).

(8) Virksomheder, der har til opgave at tildele og administrere visse af de primære navne.

(9) Direktivet om databeskyttelse inden for telesektoren (EFT L 24 af 30.1.1998).

(10) EFT L 199 af 26.7.1997.

(11) EFT L 101 af 1.4.1998.

(12) Direktiv 1999/93/EF, af 13. december 1999, om en fælles ramme for elektroniske signaturer, EFT L 13 af 19.1.2000, s. 12.

(13) Unge "hackerlærlinge" uden tekniske kvalifikationer, som kopierer "hackerværktøj", de finder på nettet og i undergrundsblade.

(14) National Security Agency, USA's nationale sikkerhedsbureau.

(15) ØSU-udtalelse om det 6. rammeprogram for forskning (EFT C 260 af 17.9.2001, s. 3).

(16) DMZ: DeMilitarized Zone, en "demilitariseret" zone, der ligger som et beskyttende bælte omkring det interne net.

(17) Backdoors, dvs. skjulte indgangsporte.