Retsgrundlaget for denne forordning er artikel 298 i traktaten om Den Europæiske Unions funktionsmåde (TEUF), hvori det fastsættes, at Unionens institutioner, organer, kontorer og agenturer under udførelsen af deres opgaver støtter sig til en åben, effektiv og uafhængig europæisk forvaltning. Under overholdelse af den vedtægt og de ansættelsesvilkår, der er vedtaget på grundlag af artikel 336, fastsætter Europa-Parlamentet og Rådet ved forordning efter den almindelige lovgivningsprocedure bestemmelser med henblik herpå.

I sine konklusioner af 9. marts 2021 understreger Rådet for Den Europæiske Union, "at cybersikkerhed (...) er afgørende for en velfungerende offentlig forvaltning (...) på både nationalt plan og EU-plan og for vores samfund og økonomi som helhed" og fremhæver "betydningen af en solid og konsekvent sikkerhedsramme til beskyttelse af al EU's personale, data, kommunikationsnet og informationssystemer samt beslutningsprocesser (...)". Dette bør navnlig ske ved at styrke modstandsdygtigheden og forbedre sikkerhedskulturen i EU's institutioner, organer og agenturer. Der skal stilles tilstrækkelige ressourcer og kapaciteter til rådighed, herunder i forbindelse med styrkelsen af CERT-EU's mandat.

·Direktiv (EU) 2016/1148 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen. Nærværende forslag stemmer også overens med forslag til direktiv (EU) XXXX/XXXX om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148 [proposal NIS 2].

Dette forslag har til formål at øge EU-institutionernes, -organernes og -agenturernes cybermodstandsdygtighed for så vidt angår cybertrusler og strømline med gældende lovgivning:

Forslaget moderniserer det eksisterende retsgrundlag for CERT-EU og tager de seneste års ændrede og øgede digitalisering af EU's institutioner, organer og agenturer i betragtning sammen med trusselsbilledet for cybersikkerheden, der udvikler sig løbende. Begge disse tendenser er blevet yderligere forstærket, siden covid-19-krisen satte ind, samtidig med at antallet af hændelser fortsat stiger, og der iværksættes stadig mere sofistikerede angreb fra en bred vifte af kilder.

Dette forslag bygger på strategien for EU's sikkerhedsunion (COM(2020) 605 final) og EU's strategi for cybersikkerhed for det digitale årti (JOIN(2020) 18 final).

Ved dette forslag indføres en ramme til sikring af fælles cybersikkerhedsregler og ‑foranstaltninger i EU's institutioner, organer og agenturer. Formålet er at forbedre alle enheders modstandsdygtighed og beredskabskapacitet. Forslaget er i overensstemmelse med Kommissionens prioriteter om at gøre Europa klar til den digitale tidsalder og opbygge en fremtidssikret økonomi, der tjener alle. En sikker og modstandsdygtig offentlig forvaltning er en hjørnesten i den digitale omstilling af samfundet som helhed.

CERT-EU har foretaget en vurdering af de vigtigste cybertrusler, som EU's institutioner, organer og agenturer i øjeblikket udsættes for, eller som det er sandsynligt, at de vil blive udsat for i nær fremtid.

Valget af en forordning, som finder direkte anvendelse, vurderes at være det mest hensigtsmæssige retlige instrument til at fastlægge og strømline de forpligtelser, som EU's institutioner, organer og agenturer pålægges. Med henblik på at give mulighed for målrettede forbedringer er en forordning også det mest hensigtsmæssige retlige instrument.

Bestemmelserne i denne forordning går ikke videre, end hvad der er nødvendigt for at nå de specifikke mål på tilfredsstillende vis. De påtænkte foranstaltninger vil bidrage til opnåelsen af et højt fælles cybersikkerhedsniveau uden at gå ud over, hvad der er nødvendigt for at nå det tilstræbte mål i lyset af de stadig større risici, som de står over for.

Forordningen om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i alle EU's institutioner, organer, kontorer og agenturer ligger inden for rammerne af EU's enekompetence.

Derudover udgør de nuværende forskelle i holdning og tilgang til cybersikkerhed i EU's institutioner, organer og agenturer en ekstra forhindring for opnåelsen af en åben, effektiv og uafhængig europæisk forvaltning, jf. afsnit 3 nedenfor. Uden en fælles tilgang vil holdingen til cybersikkerhed i EU's institutioner, organer og agenturer fortsat udvikle sig i forskellige retninger. Det valgte retsgrundlag er derfor det mest hensigtsmæssige, idet forordningen har til formål at oprette en fælles retlig ramme for cybersikkerhed i EU's institutioner, organer, kontorer og agenturer.

Informationsteknologi har gjort det muligt for EU's institutioner, organer og agenturer at arbejde og interagere med borgerne på nye måder samt forbedre den overordnede drift. I takt med at teknologien fortsat udvikles, udvikler trusselsbilledet for cybersikkerheden sig også. EU's institutioner, organer og agenturer er blevet meget attraktive mål for sofistikerede cyberangreb. Etableringen af systemer og krav til sikring af cybersikkerheden lader til at bidrage til den europæiske forvaltnings effektivitet og uafhængighed, således at EU's institutioner, organer, kontorer og agenturer kan fungere på en mere effektiv måde i en digital verden, når de udfører deres missioner.

Selv om det således er sandsynligt, at mange af EU's institutioner, organer og agenturer bruger mindre på cybersikkerhed, end de burde, vil denne forordning ikke som sådan føre til en stigning i de nuværende udgifter. Selv uden denne forordning ville hver enhed skulle sikre et passende cybersikkerhedsniveau. Forordningen viderefører det tidligere samarbejde i CERT-EU's styrelsesråd og formaliserer et lag udveksling af oplysninger, der allerede delvist eksisterer i dag. Som det fremgår af finansieringsoversigten, vil CERT-EU få brug for yderligere ressourcer til at kunne udfylde sin udvidede rolle, og disse ressourcer bør omfordeles fra de EU-institutioner, -organer og -agenturer, der nyder gavn af CERT-EU's tjenester.

Markedsbenchmark og undersøgelser viser, at andelen af direkte udgifter til cybersikkerhed indtil nu har ligget på mellem 4 og 7 % af de samlede IT-udgifter i en organisation. Den trusselsanalyse, som CERT-EU har udarbejdet til støtte for dette lovgivningsforslag, indikerer imidlertid, at internationale organer og politiske organisationer står over for øgede risici, og at en andel på 10 % til IT-udgifter til cybersikkerhed lader til at være et mere passende mål. De præcise omkostninger ved en sådan indsats kan ikke fastslås som følge af manglen på detaljerede oplysninger om IT-udgifterne i EU's institutioner, organer og agenturer og den relevante andel af udgifterne til cybersikkerhed.

EU har forpligtet sig at sikre et højt niveau af beskyttelse af de grundlæggende rettigheder. Al deling af oplysninger inden for rammerne af denne forordning vil blive gennemført i sikre miljøer under fuld overholdelse af retten til beskyttelse af personoplysninger, jf. artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, og den relevante databeskyttelseslovgivning, især Europa-Parlamentets og Rådets forordning (EU) 2018/1725.

Dette forslag får konsekvenser for EU's institutioner, organer og agenturer. Det er derfor ikke nødvendigt at udarbejde en specifik konsekvensanalyse, eftersom det ikke finder anvender på medlemsstaterne.

Kommissionen har hørt interessenter på tværs af EU's institutioner, organer og agenturer samt repræsentanter for medlemsstaterne i Rådet og interessenterne i Europa-Parlamentet. Den 25. juni 2021 deltog repræsentanter for medlemsstaterne og berørte interessenter fra EU's institutioner, organer og agenturer i en workshop arrangeret af Kommissionen med henblik på at drøfte indholdet af det fremtidige forslag til forordning.

Kort sagt viser analysen af de 20 EU-institutioner, -organer og -agenturer, at deres forvaltning, cyberhygiejne, overordnede kapacitet og modenhed varierer på tværs af et bredt spektrum, og at et krav om, at alle EU-institutioner, -organer og -agenturer gennemfører et minimum af cybersikkerhedsforanstaltninger vil bidrage til at reducere forskellene i modenhed og bringe alle EU-institutioner, -organer og -agenturer op på et højt fælles cybersikkerhedsniveau.

·Selv om rammerne for cybersikkerheden (strategier, politikker og en regelbase) i de evaluerede EU-institutioner, -organer og -agenturer er veletablerede for så vidt angår de vigtigste cybersikkerhedsområder, jf. listen i bilag I i denne forordning, mangler visse EU-institutioner, -organer og -agenturer moden kapacitet til styring af driftskontinuitet, overholdelse, audit og fortsatte forbedringer.

I 2020 fastlagde CERT-EU's styrelsesråd et nyt strategisk mål for CERT-EU for at garantere et vidtfavnende cybersikkerhedsforsvar for alle EU's institutioner, organer og agenturer med en passende bredde og dybde og fortløbende tilpasning til eller hindring af nært forestående trusler, inkl. angreb på bærbare enheder, dataskymiljøer og IoT-enheder (Internet of Things).

Forordningen sikrer samarbejde og udveksling af oplysninger i CERT-EU og EU's institutioner, organer og agenturer med henblik på at skabe tillid. Med henblik herpå kan CERT-EU anmode EU's institutioner, organer og agenturer om at forsyne det med relevante oplysninger, og CERT-EU må, uden den berørte deltagers samtykke, udveksle hændelsesspecifikke oplysninger med EU's institutioner, organer og agenturer for at fremme detektionen af lignende cybertrusler eller hændelser. CERT-EU må dog kun udveksle hændelsesspecifikke oplysninger, der afslører identiteten på målet for en cybersikkerhedshændelse med den berørte deltagers samtykke.

CERT-EU skal bidrage til IT-miljøets sikkerhed i alle EU's institutioner, organer og agenturer ved at rådgive dem, hjælpe dem med at forebygge, detektere, afbøde og reagere på hændelser og ved at fungere som deres knudepunkt for udveksling af oplysninger vedrørende cybersikkerhed og koordinering af beredskabet i forbindelse med hændelser (artikel 12-17).

Det Interinstitutionelle Råd for Cybersikkerhed etableres og skal være ansvarlig for overvågningen af EU-institutionernes, -organernes og agenturernes gennemførelse af denne forordning samt overvågningen af CERT-EU's gennemførelse af de generelle prioriteter og mål samt udstikke den strategiske retning for CERT-EU (artikel 9-11).

EU's institutioner, organer og agenturer er forpligtede til at etablere en intern ramme for styring, forvaltning og kontrol af cybersikkerhedsrisici, som sikrer en effektiv og fornuftig styring af alle cybersikkerhedsrisici. EU's institutioner, organer og agenturer skal desuden vedtage et referencescenarie for cybersikkerhed med henblik på at håndtere de risici, der konstateres i medfør af denne ramme, gennemføre regelmæssige vurderinger af cybersikkerhedsmodenheden og vedtage en cybersikkerhedsplan (artikel 4-8).

Ved denne forordning fastsættes foranstaltninger med henblik på at sikre et højt fælles cybersikkerhedsniveau, og den finder anvendelse på alle EU's institutioner, organer og agenturer med henblik på at sætte dem i stand til at gennemføre deres respektive missioner på en åben, effektiv og uafhængig måde (artikel 1-3 og 23-25).

CERT-EU kan udarbejde et forslag til et vejledende dokument eller en henstilling, som IICB kan vælge at vedtage. Et vejledende dokument er en meddelelse rettet til alle eller en delgruppe af EU's institutioner, organer og agenturer, mens en henstilling er rettet til EU-enkeltinstitutioner, -organer eller -agenturer. En opfordring til tiltag er en CERT-EU-meddelelse, der beskriver hastende sikkerhedsforanstaltninger, som EU's institutioner, organer og agenturer kraftigt opfordres til at træffe inden en fastsat frist.

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 298,

under henvisning til traktaten om oprettelse af Det Europæiske Atomenergifællesskab, særlig artikel 106a,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

efter den almindelige lovgivningsprocedure, og

ud fra følgende betragtninger:

(1)I den digitale tidsalder er informations- og kommunikationsteknologi en hjørnesten i en åben, effektiv og uafhængig EU-forvaltning. Ny teknologi, øget kompleksitet og digitale systemers indbyrdes forbundethed øger cybersikkerhedsrisiciene og gør EU-forvaltningen mere sårbar over for cybertrusler og hændelser, hvilket i sidste ende udgør en trussel mod forvaltningens driftskontinuitet og evne til at sikre sine data. Selv om øget brug af cloudtjenester, allestedsnærværende brug af IT, høj grad af digitalisering, fjernarbejde, ny teknologi og konnektivitet i dag er centrale elementer i alle aktiviteter i EU's forvaltningsenheder, er digital modstandsdygtighed endnu ikke tilstrækkelig indarbejdet.

(2)Det trusselsbillede for cybersikkerheden, som EU's institutioner, organer og agenturer står over for, udvikler sig konstant. De taktikker, teknikker og fremgangsmåder, som trusselsaktørerne benytter sig af udvikler sig konstant, men de fremtrædende bevæggrunde for sådanne angreb, dvs. fra at stjæle værdifulde fortrolige oplysninger til at tjene penge, manipulere den offentlige mening eller underminere digital infrastruktur, ændrer sig kun lidt. Den hastighed, med hvilken trusselsaktørerne gennemfører deres cyberangreb, øges hele tiden, og deres kampagner bliver mere og mere avancerede og automatiserede med angreb på eksponerede angrebsflader, der hele tiden udvides, og sårbarheder udnyttes hurtigt.

(3)EU-institutionernes, -organernes og -agenturernes IT-miljøer har indbyrdes afhængige elementer og integrerede datastrømme, og brugerne arbejder tæt sammen. Denne sammenkobling betyder, at enhver afbrydelse, selv en, der oprindeligt var begrænset til én EU-institution, ét EU-organ eller ét EU-agentur, kan have kaskadevirkninger mere generelt, hvilket potentielt kan føre til vidtrækkende og langvarige negative virkninger for de andre. Derudover er visse institutioners, organers og agenturers IT-miljøer sammenkoblet med medlemsstaternes IT-miljøer, hvilket betyder, at en hændelse i én EU-enhed udgør en risiko for cybersikkerheden i medlemsstaternes IT-miljøer og omvendt.

(4)EU's institutioner, organer og agenturer er attraktive mål, der står over for højt kvalificerede trusselsaktører med adgang til mange ressourcer samt andre trusler. Men cybermodstandsdygtighedsgraden og -modenheden samt evnen til at reagere på ondsindede cyberaktiviteter varierer betydeligt fra den ene enhed til den anden. Det er derfor nødvendigt for en velfungerende europæisk forvaltning, at EU's institutioner, organer og agenturer opnår et højt fælles cybersikkerhedsniveau ved hjælp af referencescenarie for cybersikkerhed (et sæt minimumsregler, som net- og informationssystemer samt operatører og brugere heraf skal overholde med henblik på at minimere cybersikkerhedsrisiciene), udveksling af oplysninger og samarbejde.

(5)Direktivet [proposal NIS 2] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen har til formål at forbedre offentlige og private enheders, nationale kompetente myndigheders og organers samt EU's samlede modstandsdygtighed og beredskabskapacitet inden for cybersikkerhed. Det er derfor nødvendigt, at EU's institutioner, organer og agenturer følger trop ved at sikre regler, der er strømlinet med direktiv [proposal NIS 2] og afspejler dets ambitionsniveau.

(6)For at opnå et højt fælles cybersikkerhedsniveau er det nødvendigt, at hver EU-institution, -organ og -agentur etablerer en intern ramme for styring, forvaltning og kontrol af cybersikkerhedsrisici, som sikrer en effektiv og fornuftig styring af alle cybersikkerhedsrisici og tager hensyn til driftskontinuitet og krisestyring.

(7)EU's institutioner, organer og agenturer er forskellige, og det er derfor nødvendigt, at gennemførelsen er fleksibel, fordi den samme model ikke vil være passende for alle. Foranstaltningerne til sikring af et højt fælles cybersikkerhedsniveau bør ikke omfatte forpligtelser, der direkte griber ind i gennemførelsen af EU-institutionernes, ‑organernes og -agenturernes missioner eller deres institutionelle autonomi. EU's institutioner, organer og agenturer bør derfor etablere deres egne rammer for styring, forvaltning og kontrol af cybersikkerhedsrisici og vedtage deres egne referencescenarier og cybersikkerhedsplaner.

(8)Med henblik på at undgå at EU's institutioner, organer og agenturer pålægges en uforholdsmæssig stor økonomisk og administrativ byrde, bør kravene til styring af cybersikkerhedsrisici stå i et rimeligt forhold til risikoen fra det pågældende net- og informationssystem under hensyntagen til sådanne foranstaltningers aktuelle tekniske niveau. Hver EU-institution, -organ og -agentur bør sigte på at tildele en passende procentdel af deres IT-budget til forbedring af cybersikkerhedsniveauet. På længere sigt bør de forfølge et mål på omkring 10 %.

(9)Et højt fælles cybersikkerhedsniveau kræver, at cybersikkerhed bliver lagt ind under hver EU-institutions, -organs og -agenturs øverste ledelses tilsyn, idet den øverste ledelse bør vedtage et referencescenarie for cybersikkerhed med henblik på at imødegå de risici, der er konstateret i henhold til den ramme, som etableres af hver EU-institution og hvert EU-organ og -agentur. Cybersikkerhedskulturen, dvs. den daglige praksis for cybersikkerhed, bør være en integreret del af et referencescenarie for cybersikkerhed i alle EU-institutioner, -organer og -agenturer.

(10)EU's institutioner, organer og agenturer bør vurdere risici vedrørende forholdet til leverandører og tjenesteudbydere, herunder leverandører af datalagrings- og databehandlingstjenester eller administrerede sikkerhedstjenester, og træffe foranstaltninger til at håndtere dem. Disse foranstaltninger bør være en del af referencescenariet for cybersikkerhed og specificeres nærmere i vejledende dokumenter eller henstillinger udstedt af CERT-EU. Når der udarbejdes foranstaltninger og vejledninger, bør der tages behørigt højde for den relevante EU-lovgivning og de relevante EU-politikker, herunder risikovurderinger og henstillinger udstedt af NIS-samarbejdsgruppen, såsom de koordinerede EU-risikovurderinger og EU-værktøjskassen om 5G-cybersikkerhed. Derudover kræves der muligvis certificering af IKT-produkter, -tjenester og -processer i overensstemmelse med specifikke europæiske cybersikkerhedscertificeringsordninger vedtaget i henhold til artikel 49 i forordning (EU) 2019/881.

(11)I maj 2011 besluttede generalsekretærerne for EU's institutioner, organer og agenturer at etablere et første hold til en IT-beredskabsenhed for EU's institutioner, organer og agenturer (CERT-EU) under tilsyn af et interinstitutionelt styrelsesråd. Generalsekretærerne bekræftede i juli 2012 de praktiske ordninger og nåede til enighed om at bevare CERT-EU som en permanent enhed for fortsat at hjælpe med at øge det generelle IT-sikkerhedsniveau i EU's institutioner, organer og agenturer som et eksempel på synligt interinstitutionelt samarbejde inden for cybersikkerhed. I september 2012 blev CERT-EU etableret som en taskforce under Europa-Kommissionen med et interinstitutionelt mandat. I december 2017 indgik EU's institutioner og organer en interinstitutionel aftale om CERT-EU's organisation og drift. Denne ordning bør fortsat udvikles med henblik på at understøtte gennemførelsen af denne forordning.

(12)CERT-EU bør omdøbes fra "IT-Beredskabsenheden" til "EU-institutionernes, ‑organernes og -agenturernes cybersikkerhedscenter" i overensstemmelse med udviklingen i medlemsstaterne og globalt, hvor mange CERT'er omdøbes til cybersikkerhedscentre, men kortformen "CERT-EU" bør bibeholdes under henvisning til genkendelsen af navnet.

(13)Mange cyberangreb er en del af bredere kampagner målrettet grupper af EU-institutioner, -organer eller -agenturer eller interessefællesskaber, der omfatter EU's institutioner, organer og agenturer. Med henblik på at muliggøre proaktiv detektion, beredskab eller afhjælpende foranstaltninger bør EU's institutioner, organer og agenturer underrette CERT-EU om væsentlige cybertrusler, væsentlige sårbarheder og væsentlige hændelser og dele relevante tekniske detaljer om cybertrusler, sårbarheder og hændelser, der muliggør proaktiv detektion eller afhjælpning af samt reaktion på lignende cybertrusler, sårbarheder og hændelser i andre EU-institutioner, -organer og ‑agenturer. I overensstemmelse med den planlagte tilgang i direktiv [proposal NIS 2] bør enheder, når de bliver opmærksomme på en hændelse, være forpligtet til at indsende en første underretning til CERT-EU inden 24 timer. En sådan udveksling af oplysninger vil gøre det muligt for CERT-EU at formidle oplysningerne til andre EU-institutioner, -organer og -agenturer samt relevante modparter med henblik på at beskytte EU's og dets modparters IT-miljøer mod lignende hændelser, trusler og sårbarheder.

(14)Udover at give CERT-EU flere opgaver og udvide dets rolle bør der oprettes et interinstitutionelt råd for cybersikkerhed (IICB), der skal fremme et højt fælles cybersikkerhedsniveau i alle EU's institutioner, organer og agenturer ved at overvåge EU-institutionernes, -organernes og -agenturernes gennemførelse af denne forordning og CERT-EU's gennemførelse af de generelle prioriteter og mål samt udstikke den strategiske retning for CERT-EU. IICB bør sikre, at EU's institutioner er repræsenteret og inddrage EU's agenturer og organer gennem EU-agenturernes netværk.