EUROPA-KOMMISSIONEN Bruxelles, den 16.12.2020 JOIN(2020) 18 final FÆLLES MEDDELELSE TIL EUROPA-PARLAMENTET OG RÅDET EU's strategi for cybersikkerhed for det digitale årti



FÆLLES MEDDELELSE TIL EUROPA-PARLAMENTET OG RÅDET EU's strategi for cybersikkerhed for det digitale årti I.INDLEDNING: EN CYBERSIKKER DIGITAL OMSTILLING I ET KOMPLEKST TRUSSELSMILJØ Cybersikkerhed er en integrerende del af europæernes sikkerhed. Uanset om der er tale om forbundne enheder og elektricitetsnet eller banker, luftfartøjer, offentlige forvaltninger og hospitaler, fortjener folk at kunne benytte dem med sikkerhed for, at de vil blive beskyttet mod cybertrusler. EU's økonomi, demokrati og samfund er mere end nogensinde før afhængige af sikre og pålidelige digitale værktøjer og konnektivitet. Cybersikkerhed er derfor afgørende for opbygningen af et modstandsdygtigt, grønt og digitalt Europa. Transport, energi og sundhed, telekommunikation, finans, sikkerhed, demokratiske processer, rumfart og forsvar er stærkt afhængige af net- og informationssystemer, som i stigende grad er indbyrdes forbundne. Den tværsektorielle afhængighed er meget stærk, fordi net- og informationssystemer er afhængige af en stabil elforsyning for at kunne fungere. Antallet af netforbundne enheder overstiger allerede nu antallet af mennesker på planeten, og antallet af enheder forventes at stige til 25 milliarder i 2025. En fjerdedel af disse vil være i Europa. Digitaliseringen af arbejdsmønstrene er blevet fremskyndet af covid-19-pandemien, hvor 40 % af EU's arbejdstagere gik over til telearbejde, hvilket sandsynligvis vil få varige følger for hverdagen. Dette øger sårbarheden over for cyberangreb. Netforbundne enheder sendes ofte til forbrugeren med kendte sårbarheder, hvilket yderligere øger angrebsfladen for ondsindede cyberaktiviteter. Industrilandskabet i EU bliver i stigende grad digitaliseret og forbundet, hvilket også betyder, at cyberangreb kan få langt større indvirkning på industrier og økosystemer end nogensinde før. Trusselsbilledet forværres af geopolitiske spændinger over det globale og åbne internet og over kontrollen med teknologier i hele forsyningskæden. Disse spændinger afspejles i det stigende antal nationalstater, der opstiller digitale grænser. Begrænsninger af og på internettet truer det globale, åbne cyberspace samt retsstatsprincippet, grundlæggende rettigheder, frihed og demokrati — EU's kerneværdier. Cyberspace udnyttes i stigende grad til politiske og ideologiske formål, og en øget polarisering på internationalt plan hindrer effektiv multilateralisme. Hybride trusler kombinerer desinformationskampagner med cyberangreb på infrastruktur, økonomiske processer og demokratiske institutioner, hvilket potentielt kan forårsage fysisk skade, give ulovlig adgang til personoplysninger, medføre tyveri af industrielle eller statslige hemmeligheder, skabe mistillid og svække den sociale samhørighed. Disse aktiviteter undergraver den internationale sikkerhed og stabilitet og de fordele, som cyberspace medfører for den økonomiske, sociale og politiske udvikling. Ondsindede, målrettede angreb på kritisk infrastruktur er en stor global risiko. Internettet har en decentraliseret arkitektur uden nogen central struktur og forvaltes af mange forskellige interessenter. Det har formået at håndtere eksponentielle stigninger i trafikmængden, samtidig med at det konstant er mål for ondsindede angreb. Samtidig stiger afhængigheden af de centrale funktioner i det globale og åbne internet såsom domænenavnesystemet (DNS) og vigtige internettjenester til kommunikation og hosting, applikationer og data. Disse tjenester koncentreres i stigende grad i hænderne på nogle få private virksomheder. Det gør den europæiske økonomi og det europæiske samfund sårbare over for forstyrrende geopolitiske eller tekniske hændelser, der påvirker kernen i internettet eller en eller flere af disse virksomheder. Den øgede brug af internettet og de ændrede mønstre som følge af pandemien har yderligere blotlagt skrøbeligheden ved de forsyningskæder, der er afhængige af denne digitale infrastruktur. Bekymringer over sikkerhed er en stor hindring for brugen af onlinetjenester. Omkring to femtedele af brugerne i EU har oplevet sikkerhedsrelaterede problemer, og tre femtedele føler sig ude af stand til at beskytte sig selv mod cyberkriminalitet . En tredjedel har inden for de seneste tre år modtaget falske e-mails eller telefonopkald, hvor de bliver bedt om at afgive personoplysninger, men 83 % har aldrig indberettet cyberkriminalitet. En ud af otte virksomheder har været udsat for cyberangreb . Over halvdelen af de computere i virksomheder og hos forbrugere, der er blevet inficeret med malware én gang, geninficeres inden for samme år. Hvert år går flere hundrede millioner registreringer tabt på grund af brud på datasikkerheden, og de gennemsnitlige omkostninger ved et sådant brud for en enkelt virksomhed steg til over 3,5 mio. EUR i 2018 . Konsekvenserne af et cyberangreb kan ofte ikke isoleres og kan udløse kædereaktioner i hele økonomien og samfundet og dermed påvirke millioner af mennesker . Efterforskningen af næsten alle former for kriminalitet har en digital komponent. I 2019 blev antallet af år-til-år hændelser tredoblet. Det anslås, at der er 700 millioner nye former for malware — den hyppigste måde til at fremme et cyberangreb på. De årlige omkostninger til IT-kriminalitet for verdensøkonomien i 2020 anslås til 5,5 bio. EUR, hvilket er det dobbelte af omkostningerne i 2015 . Dette er den største overførsel af økonomisk velstand i historien, større end den globale narkotikahandel. Omkostningerne forbundet med en større hændelse, WannaCry-angrebet i 2017, blev anslået til over 6,5 mia. EUR for den globale økonomi. Digitale tjenester og finanssektoren er blandt de hyppigste mål for cyberangreb sammen med den offentlige sektor og fremstillingsindustrien, men cyberparatheden og -bevidstheden blandt virksomheder og enkeltpersoner er fortsat lav, og arbejdsstyrken har en betydelig mangel på færdigheder inden for cybersikkerhed. Der var næsten 450 cybersikkerhedshændelser i 2019, som involverede kritisk europæisk infrastruktur såsom finans og energi. Sundhedsorganisationer og sundhedspersonale er blevet ramt særlig hårdt under pandemien. Efterhånden som teknologien bliver uløseligt forbundet med den fysiske verden, bringer cyberangreb de mest sårbare menneskers liv og velvære i fare. Mere end to tredjedele af virksomhederne, navnlig SMV'er, betragtes som "novicer" inden for cybersikkerhed, og europæiske virksomheder anses for at være mindre velforberedte end virksomheder i Asien og Amerika . Det anslås, at 291 000 stillinger til fagfolk inden for cybersikkerhed i Europa fortsat ikke er besat. Ansættelse og uddannelse af cybersikkerhedseksperter er en langsom proces, hvilket skaber større cybersikkerhedsrisici for organisationer. EU mangler kollektiv situationsbevidsthed om cybertrusler. Dette skyldes, at de nationale myndigheder ikke systematisk indsamler og udveksler oplysninger — såsom oplysninger, der er tilgængelige fra den private sektor — som kan bidrage til at vurdere cybersikkerhedssituationen i EU. Kun en brøkdel af alle hændelser indberettes af medlemsstaterne, og udvekslingen af oplysninger er hverken systematisk eller omfattende . Cyberangreb er således måske kun en enkelt facet af samordnede ondsindede angreb på europæiske samfund. Der er i øjeblikket kun begrænset gensidig operationel bistand mellem medlemsstaterne, og der findes ingen operationel mekanisme mellem medlemsstaterne og EU's institutioner, agenturer og organer i tilfælde af omfattende grænseoverskridende cyberhændelser eller -kriser. Forbedring af cybersikkerheden er derfor afgørende for, at folk kan stole på, anvende og drage fordel af innovation, konnektivitet og automatisering, og for at beskytte de grundlæggende rettigheder og frihedsrettigheder, herunder retten til privatlivets fred og retten til beskyttelse af personoplysninger samt ytrings- og informationsfriheden. Cybersikkerhed er uundværlig for netværksforbindelsen og det globale og åbne internet, som skal understøtte omstillingen af økonomien og samfundet i 2020'erne. Det bidrager til bedre og flere job, mere fleksible arbejdspladser, mere effektiv og bæredygtig transport og landbrug og lettere og mere retfærdig adgang til sundhedsydelser. Det er også afgørende for omstillingen til renere energi under den europæiske grønne pagt, der skal ske gennem grænseoverskridende net og intelligente målere og ved at undgå unødvendig overlapning af datalagring. Endelig er det afgørende for den internationale sikkerhed og stabilitet og for udviklingen af økonomier, demokratier og samfund på globalt plan. Myndigheder, virksomheder og enkeltpersoner skal derfor anvende digitale værktøjer på en ansvarlig og sikkerhedsbevidst måde. Bevidsthed om cybersikkerhed og IT-hygiejne skal understøtte den digitale omstilling af hverdagsaktiviteter. EU's nye strategi for cybersikkerhed for det digitale årti udgør et centralt element i udformningen af Europas digitale fremtid, Kommissionens genopretningsplan for Europa, strategien for en sikkerhedsunion 2020-2025, den globale strategi for EU's udenrigs- og sikkerhedspolitik og Det Europæiske Råds strategiske dagsorden 2019-2024. Den beskriver, hvordan EU vil beskytte sine borgere, virksomheder og institutioner mod cybertrusler, og hvordan EU vil fremme internationalt samarbejde og føre an i sikringen af et globalt og åbent internet. II.TÆNKE GLOBALT, HANDLE EUROPÆISK Denne strategi har til formål at sikre et globalt og åbent internet med stærke værn for at imødegå risici for sikkerheden og de grundlæggende rettigheder og frihedsrettigheder for befolkningerne i Europa. Den bygger på de fremskridt, der er gjort under de tidligere strategier, og indeholder konkrete forslag til anvendelse af de tre vigtigste instrumenter — regulerings-, investerings- og politikinstrumenter — til at håndtere tre af EU's indsatsområder — 1) modstandsdygtighed, teknologisk suverænitet og lederskab, 2) opbygning af operationel kapacitet til at forebygge, modvirke og reagere og 3) fremme af et globalt og åbent cyberspace. EU er fast besluttet på at støtte denne strategi gennem et hidtil uset investeringsniveau i EU's digitale omstilling i løbet af de næste syv år — potentielt en firedobling af tidligere niveauer — som led i nye teknologiske og industrielle politikker og genopretningsdagsordenen. Cybersikkerhed skal integreres i alle disse digitale investeringer, navnlig centrale teknologier som kunstig intelligens (KI), kryptering og kvantedatabehandling under anvendelse af incitamenter, forpligtelser og benchmarks. Dette kan stimulere væksten i den europæiske cybersikkerhedsindustri og skabe den sikkerhed, der er nødvendig for at lette udfasningen af eksisterende systemer. Den Europæiske Forsvarsfond støtter europæiske cyberforsvarsløsninger som en del af det europæiske forsvars teknologiske og industrielle grundlag. Cybersikkerhed indgår i eksterne finansielle instrumenter til støtte for vores partnere, navnlig instrumentet for naboskab, udviklingssamarbejde og internationalt samarbejde. Forebyggelse af misbrug af teknologier, beskyttelse af kritisk infrastruktur og sikring af forsyningskædernes integritet gør det også muligt for EU at overholde FN's normer, regler og principper for ansvarlig statslig adfærd. 1. MODSTANDSDYGTIGHED, TEKNOLOGISK SUVERÆNITET OG LEDERSKAB EU's kritiske infrastruktur og væsentlige tjenester er i stigende grad indbyrdes afhængige og digitaliserede. Alle netforbundne ting i EU, hvad enten der er tale om selvkørende biler, industrielle kontrolsystemer eller husholdningsapparater, og alle de forsyningskæder, der gør dem tilgængelige, skal være sikret ved design, være modstandsdygtige over for cyberhændelser og hurtigt patcheres, når der opdages sårbarheder. Dette er afgørende for at give EU's private og offentlige sektor mulighed for at vælge mellem de mest sikre infrastrukturer og tjenester. Det kommende årti er EU's mulighed for at blive førende i udviklingen af sikre teknologier i hele forsyningskæden. Sikring af robusthed og stærkere industriel og teknologisk kapacitet inden for cybersikkerhed bør mobilisere alle nødvendige regulerings-, investerings- og politikinstrumenter. Cybersikkerhed gennem design for industrielle processer, operationer og udstyr kan mindske risici, potentielt reducere omkostningerne for både virksomheder og samfundet som helhed og dermed øge modstandsdygtigheden.

1.1 Robust infrastruktur og kritiske tjenester EU's regler om sikkerheden i net- og informationssystemer (NIS) er kernen i det indre marked for cybersikkerhed. Kommissionen foreslår at ændre disse regler i et revideret NIS-direktiv for at øge cyberrobustheden i alle relevante offentlige og private sektorer, der varetager en vigtig funktion for økonomi og samfund. Revisionen er nødvendig for at mindske uoverensstemmelser på tværs af det indre marked ved at tilpasse kravene til anvendelsesområde, sikkerhed og indberetning om hændelser, nationalt tilsyn og national håndhævelse og de kompetente myndigheders kapacitet. Et revideret NIS-direktiv vil danne grundlag for mere specifikke regler, som også er nødvendige for strategisk vigtige sektorer, herunder energi, transport og sundhed. For at sikre en konsekvent tilgang som bebudet i strategien for sikkerhedsunionen 2020-2025 fremsættes forslaget til det reviderede direktiv sammen med en revision af lovgivningen om kritisk infrastrukturs modstandsdygtighed. Energiteknologier med indbyggede digitale komponenter og sikkerheden i de tilknyttede forsyningskæder er vigtige for kontinuiteten i væsentlige tjenester og for den strategiske kontrol med kritisk energiinfrastruktur. Kommissionen vil derfor foreslå foranstaltninger, herunder en "netkodeks" med regler for cybersikkerhed i grænseoverskridende elektricitetsstrømme, som skal vedtages inden udgangen af 2022. Som Kommissionen har foreslået , skal den finansielle sektor også styrke den digitale operationelle modstandsdygtighed og sikre evnen til at modstå alle former for IKT-relaterede afbrydelser og trusler . På transportområdet har Kommissionen indarbejdet bestemmelser om cybersikkerhed i EU-lovgivningen om luftfartssikkerhed og vil arbejde videre med at øge cyberrobustheden på tværs af alle transportformer. Styrkelse af cyberrobustheden i demokratiske processer og institutioner er et centralt element i den europæiske handlingsplan for demokrati, hvis mål er at sikre og fremme frie valg, demokratisk diskurs og mediepluralisme. Endelig vil Kommissionen, for så vidt angår sikkerheden af infrastruktur og tjenester under det fremtidige rumprogram, fortsat uddybe Galileos cybersikkerhedsstrategi for den næste generation af globale satellitnavigationssystemer og andre nye komponenter i rumprogrammet. 1.2 Opbygning af et europæisk cyberskjold Med udbredelsen af konnektivitet og de stedse mere sofistikerede cyberangreb har informationsudvekslings- og analysecentre, ISAC'er, en værdifuld funktion på bl.a. sektorniveau, fordi de muliggør informationsudveksling mellem flere interessenter om cybertrusler. Dertil kommer, at netværk og computersystemer kræver konstant overvågning og analyse, hvis indtrængen og anomalier skal opdages i realtid. Mange private virksomheder, offentlige organisationer og nationale myndigheder har derfor oprettet enheder, som håndterer IT-sikkerhedshændelser og sikkerhedsoperationscentre. Sikkerhedsoperationscentre er afgørende for indsamling af logfiler og isolering af mistænkelige hændelser på de kommunikationsnetværk, de overvåger. Det gør de ved hjælp af signal- og mønsteridentifikation og udtræk af viden om trusler fra de store mængder data, der skal vurderes. De har medvirket til at afsløre skadelige eksekverbare filers aktiviteter og dermed til at dæmme op for cyberangreb. Det arbejde, der skal udføres i disse centre, er meget krævende og sker i et højt tempo, og derfor kan kunstig intelligens og navnlig maskinindlæringsteknikker yde uvurderlig støtte til medarbejderne. Kommissionen foreslår, at der opbygges et netværk af sikkerhedsoperationscentre i hele EU, og at der ydes støtte til forbedring af eksisterende centre og oprettelse af nye centre. Den vil også støtte uddannelse af og kompetenceudvikling for personalet i disse centre. Den kan på grundlag af en behovsanalyse, der gennemføres med relevante interessenter og støttes af EU's Agentur for Cybersikkerhed (ENISA), afsætte over 300 mio. EUR i støtte til offentlig-privat og grænseoverskridende samarbejde om etablering af nationale og sektorspecifikke netværk, som også inddrager SMV'er, på grundlag af hensigtsmæssig styring, datadeling og sikkerhedsbestemmelser. Medlemsstaterne opfordres til at deltage i investeringen af dette projekt. Centrene vil så kunne dele data mere effektivt, sammenholde de afslørede signaler og udarbejde trusselsefterretninger af høj kvalitet, som skal deles med informationsudvekslings- og analysecentre og nationale myndigheder og dermed muliggøre et mere omfattende situationskendskab. Målet er at forbinde så mange centre som muligt i hele EU for at skabe kollektiv viden og udveksle bedste praksis. Der vil blive ydet støtte til disse centre med henblik på at forbedre opdagelsen og analysen af og reaktionshastigheden i forbindelse med hændelser gennem den nyeste kapacitet inden for kunstig intelligens og maskinindlæring suppleret med supercomputerinfrastruktur, der er udviklet i EU af det europæiske fællesforetagende for højtydende databehandling. Gennem et vedvarende samarbejde vil dette netværk udsende advarsler om cybersikkerhedshændelser til myndigheder og alle interesserede parter, herunder Den Fælles Cyberenhed (se afsnit 2.1). Dette vil fungere som et egentligt cybersikkerhedsskjold for EU i form af et solidt net af kontroltårne, der kan opdage potentielle trusler, før de kan forårsage omfattende skader. 1.3 En ultrasikker kommunikationsinfrastruktur EU's statslige satellitkommunikation, der er en del af rumprogrammet, vil tilvejebringe sikker og omkostningseffektiv rumbaseret kommunikationskapacitet for de sikkerheds- og sikkerhedskritiske missioner og operationer, der forvaltes af EU og medlemsstaterne, herunder nationale sikkerhedsaktører og EU-institutionernes organer og agenturer. Medlemsstaterne har forpligtet sig til at samarbejde med Kommissionen om udrulning af en sikker kvantekommunikationsinfrastruktur (QCI) i Europa. Denne infrastruktur vil give offentlige myndigheder en helt ny måde at formidle fortrolige oplysninger på ved hjælp af en ultrasikker krypteringsform som beskyttelse mod cyberangreb, der er bygget med europæisk teknologi. Den vil bestå af to hovedkomponenter: eksisterende jordbaserede fibernet, der forbinder strategiske anlæg på nationalt og tværnationalt plan og forbundne rumsatellitter, som dækker hele EU, herunder de oversøiske territorier. Dette initiativ til at udvikle og udrulle nye og mere sikre former for kryptering og til at udvikle nye metoder til beskyttelse af kritiske kommunikations- og dataaktiver kan bidrage til at holde følsomme oplysninger og dermed kritiske infrastrukturer sikre. I og ud over dette perspektiv vil Kommissionen undersøge muligheden for at indføre et sikkert konnektivitetssystem med flere kredsløb. På grundlag af GOVSATCOM og QCI integrerer det banebrydende teknologier (såsom Quantum, 5G, KI og edge computing), der overholder de mest restriktive rammer for cybersikkerhed, for at støtte tjenester, der er sikret ved design, såsom pålidelig, sikker og omkostningseffektiv konnektivitet og krypteret kommunikation til kritiske statslige aktiviteter. 1.4 Sikring af næste generation af mobile bredbåndsnet EU-borgere og -virksomheder, der anvender avancerede og innovative applikationer, som muliggøres af 5G og fremtidige generationer af netværk, bør have adgang til den højeste sikkerhedsstandard. Medlemsstaterne har sammen med Kommissionen og med støtte fra ENISA med EU's 5G-værktøjskasse fra januar 2020 indført en omfattende og objektiv risikobaseret tilgang til 5G-cybersikkerhed, som bygger på en vurdering af mulige beredskabsplaner og identifikation af de mest effektive foranstaltninger. Desuden konsoliderer EU sin kapacitet i 5G og derover for at undgå afhængighed og fremme en bæredygtig og mangfoldig forsyningskæde. I december 2020 offentliggjorde Kommissionen en rapport om virkningerne af henstillingen af 26. marts 2019 om cybersikkerhed i 5G-net. Det fremgik af rapporten, at der er gjort betydelige fremskridt, siden værktøjskassen blev vedtaget, og at de fleste medlemsstater i den nærmeste fremtid vil have gennemført en betydelig del af værktøjskassen, om end med visse forskelle og resterende mangler som allerede påpeget i statusrapporten, der blev offentliggjort i juli 2020. I oktober 2020 opfordrede Det Europæiske Råd EU og medlemsstaterne til "at gøre fuld brug af 5G-cybersikkerhedsværktøjskassen" og "anvende de relevante restriktioner over for højrisikoleverandører med hensyn til centrale aktiver, der er udpeget som kritiske og følsomme i EU's koordinerede risikovurderinger ... på grundlag af fælles objektive kriterier". Fremadrettet bør EU og medlemsstaterne sikre, at de identificerede risici er blevet afbødet på en passende og koordineret måde, navnlig for så vidt angår målet om at minimere eksponeringen for højrisikoleverandører og undgå afhængighed af disse leverandører på nationalt plan og EU-plan, og at der tages hensyn til enhver ny væsentlig udvikling eller risiko. Medlemsstaterne opfordres til at gøre fuld brug af værktøjskassen i forbindelse med deres investeringer i digital kapacitet og konnektivitet. På grundlag af rapporten om virkningerne af henstillingen fra 2019 opfordrer Kommissionen medlemsstaterne til at have gennemført de vigtigste værktøjskasseforanstaltninger senest i andet kvartal af 2021. Den opfordrer også medlemsstaterne til fortsat sammen at overvåge de fremskridt, der gøres, og sikre yderligere tilpasning af tilgangene. På EU-plan vil tre hovedmål blive fulgt for at støtte denne proces: sikring af yderligere konvergens i tilgange til risikobegrænsning i hele EU, støtte til løbende udveksling af viden og kapacitetsopbygning og fremme af modstandsdygtighed i forsyningskæden og andre af EU's strategiske sikkerhedsmål. Konkrete foranstaltninger i forbindelse med disse centrale mål er beskrevet i det særlige tillæg til denne meddelelse. Kommissionen vil fortsat arbejde tæt sammen med medlemsstaterne for at opfylde disse mål og aktioner med støtte fra ENISA (se bilaget).

1.5 Et sikkert tingenes internet Enhver netforbunden ting indeholder sårbarheder, der kan udnyttes med potentielt omfattende konsekvenser. Reglerne for det indre marked omfatter beskyttelsesforanstaltninger mod usikre produkter og tjenesteydelser. Kommissionen arbejder allerede nu på at sikre gennemsigtige sikkerhedsløsninger og certificering i henhold til forordningen om cybersikkerhed og på at skabe incitamenter til udvikling af sikre produkter og tjenester, uden at der gås på kompromis med ydeevnen. Den vil vedtage sit første rullende EU-arbejdsprogram i første kvartal af 2021 (ajourføres mindst hvert tredje år) for at give industri, nationale myndigheder og standardiseringsorganer mulighed for på forhånd at forberede sig på fremtidige europæiske cybersikkerhedscertificeringsordninger. Efterhånden som tingenes internet udbredes, skal regler, der kan håndhæves, styrkes, både for at sikre generel modstandsdygtighed og for at styrke cybersikkerheden. Kommissionen vil overveje en samlet tilgang, herunder eventuelle nye horisontale regler for at forbedre cybersikkerheden for alle forbundne produkter og tilknyttede tjenester, der bringes i omsætning i det indre marked. Sådanne regler kan omfatte en ny pligt for fabrikanter af forbundne enheder til at tage hånd om softwarens sårbarhed, herunder videreførelsen af software og sikkerhedsopdateringer, samt sikre, at personoplysninger og andre følsomme oplysninger slettes, når enhederne tages ud af brug. Disse regler vil styrke initiativet "den forældede software til reparation", der blev præsenteret i handlingsplanen for den cirkulære økonomi, og supplere de igangværende foranstaltninger, som vedrører specifikke typer produkter, såsom obligatoriske krav, der skal foreslås for markedsadgang for visse trådløse produkter (gennem vedtagelse af en delegeret retsakt i henhold til radioudstyrsdirektivet), og målet om at gennemføre cybersikkerhedsregler for motorkøretøjer for alle nye køretøjstyper fra juli 2022. De vil desuden bygge videre på den foreslåede revision af de generelle produktsikkerhedsregler, som ikke direkte omhandler cybersikkerhedsaspekter. 1.6 Større global internetsikkerhed Et sæt centrale protokoller og en støtteinfrastruktur sikrer internettets funktionalitet og integritet i hele verden. Dette sæt omfatter DNS og dets hierarkiske og delegerede system af zoner, begyndende i toppen af hierarkiet med rodzonen og de tretten DNS-rodservere, som World Wide Web er afhængigt af. Kommissionen agter at udarbejde en beredskabsplan med støtte fra EU-midler til håndtering af ekstreme scenarier, som påvirker integriteten og tilgængeligheden af det globale DNS-rodsystem. Den vil sammen med ENISA, medlemsstaterne, de to EU-udbydere af DNS-rodservere og multiinteressentsamfundet vurdere disse operatørers rolle med hensyn til at sikre, at internettet forbliver tilgængeligt på verdensplan under alle omstændigheder. For at en kunde kan få adgang til en ressource under et bestemt domænenavn på internettet, skal dennes anmodning (typisk om en Uniform Resource Locator eller URL) oversættes til en IP-adresse ved henvisning til DNS-navneservere. Men folk og organisationer i EU er i stigende grad afhængige af nogle få offentlige DNS-oversættere, der administreres af enheder uden for EU. En sådan konsolidering af DNS-oversættelsen i hænderne på nogle få virksomheder gør selve processen sårbar i tilfælde af væsentlige begivenheder, der berører én stor udbyder, og gør det vanskeligere for EU's myndigheder at håndtere eventuelle ondsindede cyberangreb og større geopolitiske og tekniske hændelser. For at mindske sikkerhedsproblemerne ved markedskoncentration vil Kommissionen tilskynde relevante interessenter, herunder EU-virksomheder, internetudbydere og browsere, til at vedtage en diversificeringsstrategi for DNS-oversættelser. Kommissionen agter også at bidrage til sikker internetkonnektivitet ved at støtte udviklingen af en offentlig europæisk DNS-tjeneste. Dette "DNS4EU"-initiativ bliver en alternativ europæisk tjeneste for adgang til det globale internet. DNS4EU bliver gennemsigtigt, vil være i overensstemmelse med de nyeste standarder og regler for databeskyttelse gennem design og standardindstillinger og for privatlivets fred og udgøre en del af EU's Industrial Alliance on Data and Cloud. Kommissionen vil også i samarbejde med medlemsstaterne og industrien fremskynde udbredelsen af vigtige internetstandarder, herunder IPv6 og veletablerede standarder for internetsikkerhed og god praksis for DNS, routing og e-mail-sikkerhed, men udelukker ikke lovgivningsmæssige foranstaltninger såsom en europæisk udløbsklausul for IPv4 for at styre markedet, hvis der ikke gøres tilstrækkelige fremskridt hen imod deres vedtagelse. EU bør (som f.eks. under EU-Afrika-strategien) fremme gennemførelsen af disse standarder i partnerlandene som et middel til at støtte udviklingen af det globale, åbne internet og modvirke lukkede, kontrolbaserede internetmodeller. Endelig vil Kommissionen overveje behovet for en mekanisme til mere systematisk overvågning og indsamling af aggregerede data om internettrafik og rådgivning om potentielle afbrydelser. 1.7 Øget tilstedeværelse i teknologiforsyningskæden Med den planlagte finansielle støtte til cybersikker digital omstilling under den flerårige finansielle ramme for 2021-2027 har EU en enestående mulighed for at samle sine aktiver og dermed fremme sin industristrategi og sit lederskab inden for digitale teknologier og cybersikkerhed i hele den digitale forsyningskæde (herunder data og cloud, næste generation af processorteknologier, ultrasikker konnektivitet og 6G-net) i overensstemmelse med EU's værdier og prioriteter. Den offentlige sektors intervention bør være baseret på værktøjerne i EU's regelsæt for offentlige indkøb og vigtige projekter af fælleseuropæisk interesse. Derudover kan der frigøres private investeringer gennem offentlig-private partnerskaber (herunder på grundlag af erfaringerne fra det kontraktlige offentlig-private partnerskab om cybersikkerhed og gennemførelsen deraf gennem den europæiske cybersikkerhedsorganisation), venturekapital til støtte for SMV'er eller industrielle alliancer og strategier vedrørende teknologikapacitet. Der vil også blive lagt særlig vægt på det tekniske støtteinstrument og på SMV'ernes bedste brug af de seneste cybersikkerhedsværktøjer — navnlig dem, der ikke er omfattet af anvendelsesområdet for det reviderede NIS-direktiv — herunder gennem særlige aktiviteter under de digitale innovationsknudepunkter i programmet for et digitalt Europa. Målet er at udløse et tilsvarende investeringsbeløb fra medlemsstaterne, som skal modsvares af industrien inden for rammerne af et partnerskab, der forvaltes i samarbejde med medlemsstaterne i det foreslåede industri-, teknologi- og forskningskompetencecenter for cybersikkerhed og netværket af koordinationscentre (CCCN). CCCN bør med input fra industrien og akademiske kredse spille en central rolle med hensyn til at udvikle EU's teknologiske suverænitet inden for cybersikkerhed, opbygge kapacitet til at sikre følsomme infrastrukturer såsom 5G og mindske afhængigheden af andre dele af verden for de mest afgørende teknologier. Kommissionen har til hensigt, eventuelt sammen med CCCN, at støtte udviklingen af et dedikeret program for cybersikkerhedsmasterprogrammer og bidrage til en fælles europæisk køreplan for forskning og innovation i cybersikkerhed efter 2020. Investeringer gennem CCCN vil også bygge på det samarbejde om forskning og udvikling, der udføres af netværk af ekspertisecentre for cybersikkerhed, og samle Europas bedste forskerhold og industrien om at udforme og gennemføre fælles forskningsdagsordener i overensstemmelse med køreplanen for den europæiske cybersikkerhedsorganisation. Kommissionen vil fortsat basere sig på ENISA's og Europols forskningsarbejde, og vil også fortsat som en del af Horisont Europa støtte individuelle internetinnovatorer, der udvikler privatlivsfremmende og sikre kommunikationsteknologier baseret på open source-software og hardware, som i øjeblikket er omfattet af internetinitiativet Next Generation. 1.8 En cyberkvalificeret EU-arbejdsstyrke EU's indsats for at opkvalificere arbejdsstyrken, udvikle, tiltrække og fastholde de bedste talenter inden for cybersikkerhed og investere i forskning og innovation i verdensklasse udgør en vigtig del af beskyttelsen mod cybertrusler generelt. Der er et stort potentiale inden for dette område. Der skal derfor lægges særlig vægt på at udvikle, tiltrække og fastholde mere forskelligartede talenter. Den reviderede handlingsplan for digital uddannelse vil skabe opmærksomhed omkring cybersikkerhed hos privatpersoner, navnlig børn og unge, og blandt virksomheder, navnlig SMV'er. Den vil også tilskynde kvinder til at uddanne sig inden for naturvidenskab, teknologi, ingeniørteknik og matematik ("STEM") og til at beskæftige sig med IKT og opkvalificere og omkvalificere sig inden for det digitale område. Derudover vil Kommissionen sammen med Den Europæiske Unions Kontor for Intellektuel Ejendomsret under Europol, ENISA, medlemsstaterne og den private sektor udvikle oplysningsværktøjer og retningslinjer med henblik på at øge de europæiske virksomheders modstandsdygtighed over for cyberbaseret tyveri af intellektuel ejendom. Uddannelse – herunder erhvervsuddannelse, oplysning og øvelser – bør desuden øge cybersikkerheden og cyberforsvarskapaciteten på EU-plan yderligere. I denne forbindelse bør de relevante EU-aktører såsom ENISA, Det Europæiske Forsvarsagentur (EDA) og Det Europæiske Sikkerheds- og Forsvarsakademi (ESDC) søge at skabe synergi mellem deres respektive aktiviteter. Strategiske initiativer EU bør sikre: ·at det reviderede NIS-direktiv vedtages ·at de lovgivningsmæssige foranstaltninger for et sikkert tingenes internet iværksættes ·at de offentlige og private investeringer i perioden 2021-2027 når op på 4,5 mia. EUR via CCCN's investering i cybersikkerhed (navnlig gennem programmet for et digitalt Europa, Horisont Europa og genopretningsfaciliteten) ·at der indføres et EU-netværk af sikkerhedsoperationscentre baseret på kunstig intelligens og en ultrasikker kommunikationsinfrastruktur ved udnyttelse af kvanteteknologier ·at der i udbredt grad indføres cybersikkerhedsteknologier gennem målrettet støtte til SMV'er under de digitale innovationsknudepunkter ·at der udvikles en DNS-resolvertjeneste på EU-plan som et sikkert og åbent alternativ for EU's borgere, virksomheder og offentlige forvaltninger i deres tilgang til internettet og ·at gennemførelsen af 5G-værktøjskassen afsluttes senest i andet kvartal af 2021(jf. bilag). 2. OPBYGNING AF OPERATIONEL KAPACITET TIL AT FOREBYGGE, MODVIRKE OG REAGERE Cyberhændelser, hvad enten der er tale om utilsigtede handlinger eller forsætlige handlinger udført af kriminelle, statslige eller andre ikkestatslige aktører, kan medføre enorme skader. Sådanne hændelser indebærer ofte udnyttelse af tredjeparters tjenester, hardware og software til at kompromittere et endeligt mål, og deres omfang og kompleksitet gør det vanskeligt at gøre front mod EU's kollektive trusselsmiljø uden systematisk og omfattende informationsudveksling og samarbejde om en fælles indsats. EU ønsker gennem fuldstændig gennemførelse af lovgivningsværktøjer, mobilisering og samarbejde at støtte medlemsstaterne i deres bestræbelser på at beskytte deres borgere og deres økonomiske og nationale sikkerhedsinteresser under fuld overholdelse af de grundlæggende rettigheder og frihedsrettigheder samt retsstatsprincippet. En række fællesskaber bestående af netværk, EU-institutioner, -organer og -agenturer og medlemsstaternes myndigheder har ansvaret for at forebygge, modvirke, hindre og reagere på cybertrusler ved anvendelse af deres respektive instrumenter og initiativer. Disse fællesskaber omfatter: i) NIS-myndigheder såsom CSIRT'er og katastrofeberedskab, ii) retshåndhævende og retslige myndigheder, iii) cyberdiplomati og iv) cyberforsvar. 2.1 En fælles cyberenhed

En fælles cyberenhed vil tjene som en virtuel og fysisk samarbejdsplatform for de forskellige cybersikkerhedsfællesskaber i EU, med fokus på operationel og teknisk koordinering til imødegåelse af større grænseoverskridende cyberhændelser og -trusler. Den fælles cyberenhed er et vigtigt skridt fremad med henblik på at færdiggøre den europæiske ramme for håndtering af cybersikkerhedskriser. Som nævnt i kommissionsformandens politiske retningslinjer bør enheden give medlemsstaterne og EU's institutioner, organer og agenturer mulighed for at anvende de eksisterende strukturer, ressourcer og færdigheder fuldt ud og fremme et "need-to-share"-mindset. Den vil give mulighed for at konsolidere de hidtidige fremskridt for så vidt angår gennemførelsen af henstillingen fra 2017 om en koordineret reaktion på væsentlige cybersikkerhedshændelser og -kriser ("planen"). Den vil endvidere give mulighed for yderligere at styrke samarbejdet omkring planens arkitektur og udnytte de fremskridt, der hidtil er gjort, navnlig inden for NIS-samarbejdsgruppen og CyCLONe-netværket. Dette vil kunne afhjælpe to centrale mangler, som for øjeblikket øger sårbarheden og skaber ineffektivitet i reaktionen på grænseoverskridende trusler og hændelser, som er rettet mod Unionen. For det første har civile, diplomatiske og retshåndhævende fællesskaber og fællesskaber inden for cybersikkerhedsforsvar endnu ikke et fælles rum, hvor de kan pleje et struktureret samarbejde og fremme det operationelle og tekniske samarbejde. For det andet har relevante interessenter inden for cybersikkerhed endnu ikke været i stand til at udnytte det fulde potentiale af det operationelle samarbejde og den gensidige bistand inden for eksisterende netværk og fællesskaber. Der mangler også en platform, som muliggør operationelt samarbejde med den private sektor. Enheden bør forbedre og accelerere koordinationsindsatsen og give EU mulighed for at imødegå og reagere på væsentlige cyberhændelser og -kriser. Den fælles cyberenhed vil ikke være et nyt selvstændigt organ og vil heller ikke berøre de nationale cybersikkerhedsmyndigheders eller EU-deltagernes kompetencer og beføjelser. Enheden vil snarere fungere som en bagstopper, hvor deltagerne kan trække på hinandens støtte og ekspertise, navnlig hvis forskellige cyberfællesskaber skal arbejde tæt sammen. Samtidig viser nye begivenheder, at EU er nødt til at øge sit ambitionsniveau og sin parathed til at håndtere cybertrusselsbilledet og de faktiske forhold. Som led i deres bidrag til den fælles cyberenhed vil EU-aktørerne (Kommissionen og EU's agenturer og organer) derfor være villige til at øge deres ressourcer og kapacitet betydeligt for at styrke deres beredskab og modstandsdygtighed. Den fælles cyberenhed vil opfylde tre hovedmålsætninger. For det første vil den sikre beredskabet på tværs af cybersikkerhedsfællesskaber. For det andet vil den gennem informationsudveksling sikre en konstant situationsbevidsthed hos alle parter, og for det tredje vil den styrke den koordinerede indsats og genopretning. For at opfylde disse målsætninger bør enheden bygge på veldefinerede blokke og mål såsom at garantere sikker og hurtig informationsudveksling, forbedre samarbejdet blandt deltagerne, herunder interaktionen mellem medlemsstaterne og de relevante EU-enheder, etablere strukturerede partnerskaber med et pålideligt industrigrundlag og fremme en koordineret tilgang til samarbejdet med eksterne partnere. Med henblik herpå kan enheden ud fra en kortlægning af den kapacitet, der er til rådighed på nationalt og EU-plan, lette opstillingen af en ramme for samarbejdet. For at den fælles cyberenhed kan blive omdrejningspunktet for EU's operationelle cybersikkerhedssamarbejde, vil Kommissionen arbejde sammen med medlemsstaterne og de relevante EU-institutioner, -organer og -agenturer, herunder ENISA, CERT-EU og Europol, for at fremme en trinvis og inkluderende tilgang under fuld overholdelse af alle involverede parters kompetencer og mandater. I overensstemmelse hermed kan enheden bidrage til yderligere samarbejde mellem komponenterne i specifikke cyberenheder, når disse komponenter finder det nødvendigt. Det foreslås at følge fire hovedtrin ved oprettelsen af den fælles cyberenhed: ·Definition ved at kortlægge den kapacitet, der er til rådighed på nationalt og EU-plan ·Forberedelse ved at opstille en ramme for struktureret samarbejde og bistand ·Udbredelse ved at trække på deltagernes ressourcer og gennemføre rammen, så den fælles cyberenhed bliver operationel ·Udvidelse ved at styrke den koordinerede reaktionskapacitet med input fra industri og partnere. På baggrund af høringen af medlemsstaterne og EU's institutioner, organer og agenturer vil Kommissionen med inddragelse af den højtstående repræsentant og i overensstemmelse med dennes kompetencer senest i februar 2021 præsentere proceduren, milepælene og tidsplanen for definition, forberedelse, udbredelse og udvidelse af den fælles cyberenhed. 2.2 Bekæmpelse af cyberkriminalitet Vores afhængighed af onlineværktøjer har øget angrebsfladen for cyberkriminelle eksponentielt og betyder, at efterforskningen af stort set alle former for kriminalitet har en digital komponent. Desuden er centrale dele af vores samfund truet af cyberaktører og af dem, der anvender cyberværktøjer til at planlægge og udføre deres ulovlige handlinger. Der er derfor en tæt forbindelse til EU's overordnede sikkerhedspolitik, som det fremgår af de cyberrelaterede dele af strategien for EU's sikkerhedsunion fra 2020 og af EU's dagsorden for bekæmpelse af terrorisme. Bekæmpelsen af cyberkriminalitet er en central faktor for at garantere cybersikkerheden: Den afskrækkende virkning kan ikke opnås alene ved at øge modstandsdygtigheden, men kræver også identifikation og retsforfølgning af lovovertræderne. Det er derfor afgørende at styrke samarbejdet og drøftelserne mellem cybersikkerhedsaktørerne og de retshåndhævende myndigheder. På EU-plan har Europol og ENISA derfor allerede opbygget et stærkt samarbejde, hvor de har afholdt fælles konferencer og workshopper og udarbejdet fælles rapporter til Kommissionen, medlemsstaterne og andre interessenter om cybersikkerhedstrusler og teknologiske udfordringer. Kommissionen vil fortsat støtte denne integrerede tilgang til at sikre en sammenhængende og effektiv reaktion baseret på et omfattende informationsbillede. Som en vigtig del af denne reaktion skal EU og de nationale myndigheder øge og forbedre de retshåndhævende myndigheders kapacitet til at efterforske cyberkriminalitet under fuld overholdelse af de grundlæggende rettigheder og under hensyntagen til den påkrævede balance mellem de forskellige rettigheder og interesser. EU bør være i stand til at bekæmpe cyberkriminalitet med en lovgivning, der er egnet til formålet, og som er gennemført fuldt ud, idet der i særlig grad fokuseres på bekæmpelse af seksuelt misbrug af børn online og digital efterforskning, herunder kriminalitet på "det mørke net". De retshåndhævende myndigheder skal være fuldt udrustede til at foretage digital efterforskning. Kommissionen vil derfor komme med en handlingsplan til forbedring af de retshåndhævende myndigheders digitale kapacitet, hvor de får stillet de nødvendige færdigheder og værktøjer til rådighed. Derudover vil Europol gå et skridt videre i sin rolle som ekspertisecenter for at støtte de nationale retshåndhævende myndigheder i deres bekæmpelse af cyberbaseret og cyberafhængig kriminalitet og bidrage til fastlæggelsen af fælles kriminaltekniske standarder (gennem Europols innovationslaboratorium og -knudepunkt). Alle disse aktiviteter kræver en passende gennemførelse fra medlemsstaternes side, og de derfor opfordres til at gøre brug af Fonden for Intern Sikkerheds nationale programmer og foreslå projekter i forbindelse med indkaldelse af forslag som led i den tematiske facilitet. Kommissionen vil gøre brug af alle egnede midler, herunder traktatbrudsprocedurer, for at sikre, at 2013-direktivet om angreb på informationssystemer gennemføres fuldt ud, herunder også bestemmelserne om medlemsstaternes statistiske indberetninger. Den vil skærpe indsatsen for at forhindre misbrug af domænenavne til distribution af ulovligt indhold og tilstræbe, at der er nøjagtige registreringsdata til rådighed, ved fortsat at samarbejde med Internet Corporation for Assigned Names and Numbers (ICANN) og andre interessenter i internetforvaltningssystemet, navnlig gennem arbejdsgruppen om offentlig sikkerhed i ICANN's mellemstatslige rådgivende udvalg. Forslaget i det reviderede NIS-direktiv tager således sigte på at vedligeholde nøjagtige og komplette databaser over domænenavne og registreringsdata — "WHOIS-data" — og på at give lovlig adgang til sådanne data, som er afgørende for at sikre domænenavnssystemets sikkerhed, stabilitet og modstandsdygtighed. Kommissionen vil endvidere fortsætte sit arbejde for at tilvejebringe egnede kanaler og klarlægge reglerne for grænseoverskridende adgang til elektronisk bevismateriale i forbindelse med strafferetlig efterforskning (hvilket der er behov for i 85 % af tilfældene, og 65 % af det samlede antal anmodninger er rettet til udbydere i en anden jurisdiktion) ved at lette vedtagelsen og den efterfølgende gennemførelse af pakken om elektronisk bevismateriale og de praktiske foranstaltninger. Europa-Parlamentets og Rådets hurtige vedtagelse af forslagene om elektronisk bevismateriale er afgørende for at give aktørerne et effektivt værktøj. Elektronisk bevismateriale skal være læsbart, og Kommissionen vil derfor arbejde videre på at støtte retshåndhævelseskapaciteten inden for digital efterforskning, herunder håndtering af kryptering i forbindelse med strafferetlig efterforskning, samtidig med at krypteringens funktion, som er at beskytte de grundlæggende rettigheder og cybersikkerheden, opretholdes. 2.3 EU's cyberdiplomatiske værktøjskasse EU har anvendt sin cyberdiplomatiske værktøjskasse til at forebygge, modvirke, hindre og reagere på ondsindede cyberaktiviteter. Efter indførelsen af den retlige ramme for målrettede restriktive foranstaltninger til bekæmpelse af cyberangreb i maj 2019 listeopførte EU seks personer og tre enheder, der var ansvarlige for eller involveret i forskellige cyberangreb rettet mod EU og medlemsstaterne, i juli 2020. Yderligere to personer og ét organ blev opført på listen i oktober 2020. Ondsindede cyberaktiviteter, herunder også dem, der "brænder langsomt", bør bekæmpes med en effektiv og omfattende diplomatisk indsats fra EU's side under anvendelse af alle de foranstaltninger, som er til rådighed på EU-plan.

En hurtig og effektiv diplomatisk indsats fra EU's side kræver en solid fælles situationsbevidsthed og en evne til hurtigt at udarbejde en fælles EU-holdning. Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik vil tilskynde til og lette oprettelsen af en EU-arbejdsgruppe om cyberintelligens for medlemsstaterne under EU's Efterretnings- og Situationscenter (INTCEN) med henblik på at fremme strategisk efterretningssamarbejde om cybertrusler og -aktiviteter. Dette arbejde vil yderligere støtte EU's situationsbevidsthed og beslutningstagning om en fælles diplomatisk indsats. Arbejdsgruppen skal samarbejde med eksisterende strukturer, herunder eventuelt dem, der dækker den bredere trussel vedrørende hybrid og udenlandsk indblanding, for at indhente oplysninger om og vurdere situationsbevidstheden. For at styrke sin evne til at forebygge, modvirke, hindre og reagere på ondsindet adfærd i cyberspace vil den højtstående repræsentant med inddragelse af Kommissionen i overensstemmelse med dennes kompetencer stille forslag om, at EU gør sin holdning til et cyberforsvar med afskrækkende virkning endnu mere klar. Med udgangspunkt i det arbejde, der hidtil er gjort ved anvendelse af den cyberdiplomatiske værktøjskasse, bør holdningen bidrage til ansvarlig statslig adfærd og samarbejde i cyberspace og udstikke særlige retningslinjer for imødegåelse af de cyberangreb, der har den største virkning, navnlig dem, der er rettet mod vores kritiske infrastruktur, demokratiske institutioner og processer, samt cyberangreb på forsyningskæder og cyberbaseret tyveri af intellektuel ejendom. Holdningen bør skitsere, hvordan EU og medlemsstaterne kan udnytte deres politiske, økonomiske, diplomatiske, juridiske og strategiske kommunikationsværktøjer til at bekæmpe ondsindede cyberaktiviteter, og se på, hvordan EU og medlemsstaterne kan blive bedre til at finde kilden til ondsindede cyberaktiviteter. Derudover vil den højtstående repræsentant i samarbejde med Rådet og Kommissionen undersøge yderligere foranstaltninger under den cyberdiplomatiske værktøjskasse, herunder eventuelle yderligere muligheder for restriktive foranstaltninger, og muligheden for afstemning med kvalificeret flertal om listeopførelser under den horisontale sanktionsordning til bekæmpelse af cyberangreb. Desuden bør EU gøre en yderligere indsats for at styrke samarbejdet med internationale partnere, herunder NATO, for at fremme den fælles forståelse af trusselsbilledet, udvikle samarbejdsmekanismer og identificere forskellige former for samarbejdsbaseret diplomatisk reaktion. Den højtstående repræsentant vil med inddragelse af Kommissionen endvidere stille forslag om en ajourføring af gennemførelsesretningslinjerne for den cyberdiplomatiske værktøjskasse, bl.a. med henblik på at øge effektiviteten af beslutningsprocessen, og fortsætte med regelmæssigt at afholde øvelser og foretage vurderinger af den cyberdiplomatiske værktøjskasse. Derudover bør EU integrere den cyberdiplomatiske værktøjskasse yderligere i EU's krisemekanismer, søge synergier med arbejdet for at imødegå hybride trusler, desinformation og udenlandsk indblanding under den fælles ramme for imødegåelse af hybride trusler og den europæiske handlingsplan for demokrati. I denne forbindelse bør EU overveje interaktionen mellem den cyberdiplomatiske værktøjskasse og den mulige anvendelse af artikel 42, stk. 7, i TEU og artikel 222 i TEUF. 2.4 Styrkelse af cyberforsvarskapaciteten EU og medlemsstaterne skal blive bedre til at forebygge og reagere på cybertrusler i overensstemmelse med EU's ambitionsniveau, som fremgår af EU's globale strategi fra 2016. I denne forbindelse vil den højtstående repræsentant i samarbejde med Kommissionen forelægge en revision af politikrammen for cyberforsvar (CDPF) for yderligere at styrke koordineringen og samarbejdet mellem EU's aktører samt med og mellem medlemsstaterne, herunder for så vidt angår missioner og operationer under den fælles sikkerheds- og forsvarspolitik (FSFP). CDPF bør anvendes i forbindelse med det kommende strategiske kompas for at sikre, at cybersikkerhed og cyberforsvar får en mere fremtrædende plads på den bredere sikkerheds- og forsvarsdagsorden. I 2018 identificerede EU cyberspace som et operationsområde. En kommende "Military Vision and Strategy on Cyberspace as a Domain of Operations" (militær vision og strategi for cyberspace som et operationsområde) fra EU's Militærkomité bør yderligere fastlægge, hvordan cyberspace som et operationsområde forbedrer EU's muligheder for at gennemføre militære FSFP-missioner og -operationer. Det militære CERT-netværk, som Det Europæiske Forsvarsagentur (EDA) er ved at oprette, vil i høj grad fremme medlemsstaternes samarbejde. For at garantere cybersikkerheden af kritiske ruminfrastrukturer under rumprogrammet vil Den Europæiske Unions Agentur for Rumprogrammet og navnlig Galileo-sikkerhedsovervågningscentret blive styrket, og dets mandat vil blive udvidet til at omfatte andre kritiske aktiver under rumprogrammet. EU og medlemsstaterne bør sætte yderligere skub i udviklingen af avanceret cyberforsvarskapacitet gennem forskellige EU-politikker og -instrumenter, navnlig CDPF, og når det er hensigtsmæssigt med udgangspunkt i EDA's arbejde. Dette kræver, at der lægges stor vægt på at udvikle og anvende nøgleteknologier såsom kunstig intelligens, kryptering og kvantedatabehandling. I overensstemmelse med EU's kapacitetsudviklingsprioriteter fra 2018 og på baggrund af resultaterne af den første fuldstændige samordnede årlige gennemgang vedrørende forsvar (CARD) bør EU yderligere fremme medlemsstaternes samarbejde om forskning i cyberforsvar, innovation og kapacitetsudvikling og tilskynde medlemsstaterne til at udnytte det fulde potentiale af det permanente strukturerede samarbejde (PESCO) og EDF. Kommissionens kommende handlingsplan om synergier mellem den civile, forsvars- og rumindustrien, som skal fremlægges i første kvartal af 2021, vil omfatte foranstaltninger, som yderligere vil støtte synergier for så vidt angår programmer, teknologier, innovation og nyetablerede virksomheder i overensstemmelse med forvaltningen af de respektive programmer. Derudover skal der skabes relevante synergier og grænseflader mellem cyberforsvarsinitiativer, som gennemføres inden for andre rammer, herunder medlemsstaternes cyberrelaterede samarbejdsprojekter under PESCO, samt med EU's cybersikkerhedsstrukturer for at støtte informationsudveksling og gensidig bistand. Strategiske initiativer EU bør: ·færdiggøre den europæiske ramme for håndtering af cybersikkerhedskriser og fastlægge proceduren, milepælene og tidsplanen for oprettelse af den fælles cyberenhed ·fortsætte gennemførelsen af dagsordenen for cyberkriminalitet under strategien for EU's sikkerhedsunion ·tilskynde til og lette nedsættelsen af en arbejdsgruppe om cyberintelligens for medlemsstaterne, der hører under EU INTCEN ·fremsætte EU's holdning til cyberforsvar med afskrækkende virkning for at forebygge, modvirke, hindre og reagere på ondsindede cyberaktiviteter ·revidere politikrammen for cyberforsvar ·lette udviklingen af EU's militære vision og strategi for cyberspace som et operationsområde med henblik på militære FSFP-missioner og -operationer ·støtte synergier mellem den civile, forsvars- og rumindustrien og ·styrke cybersikkerheden af kritiske ruminfrastrukturer under rumprogrammet. 3. FREMME AF ET GLOBALT OG ÅBENT CYBERSPACE EU bør fortsat arbejde sammen med de internationale partnere om at fremme en politisk model og vision for cyberspace baseret på retsstatsprincippet, menneskerettighederne, de grundlæggende frihedsrettigheder og de demokratiske værdier, der skaber social, økonomisk og politisk udvikling globalt og bidrager til en sikkerhedsunion. Internationalt samarbejde er afgørende for at bevare et globalt, åbent, stabilt og sikkert cyberspace. EU bør i denne forbindelse fortsat arbejde sammen med tredjelande, internationale organisationer og multiinteressentfællesskabet om at udvikle og gennemføre en sammenhængende og holistisk international cyberpolitik under hensyntagen til den stigende indbyrdes sammenhæng mellem de økonomiske aspekter ved nye teknologier, den indre sikkerhed og udenrigs-, sikkerheds- og forsvarspolitikken. Som en stærk økonomisk blok og handelsblok, der bygger på centrale demokratiske værdier, respekt for retsstatsprincippet og de grundlæggende rettigheder, er EU også godt rustet til at føre an i forbindelse med opstilling og fremme af internationale normer og standarder. 3,1. EU's lederskab inden for standarder, normer og rammer i cyberspace Intensivering af den internationale standardisering For at fremme og forsvare sin vision for cyberspace på internationalt plan skal EU intensivere sit engagement i og lederskab inden for internationale standardiseringsprocesser og styrke sin repræsentation i internationale og europæiske standardiseringsorganer samt i andre standardudviklingsorganisationer . Da de digitale teknologier udvikler sig hurtigt, er de internationale standarder af stigende betydning som et supplement til de traditionelle lovgivningsmæssige tiltag inden for områder som kunstig intelligens, cloudteknologi, kvantedatabehandling og kvantekommunikation. International standardisering anvendes i stigende grad af tredjelande til at fremføre deres politiske og ideologiske dagsorden, som ofte ikke stemmer overens med EU's værdier. Desuden øges risikoen for konkurrerende rammer for international standardisering, hvilket skaber fragmentering. Det er vigtigt at forme de internationale standarder for nye teknologier og internettets centrale arkitektur i overensstemmelse med EU's værdier for at sikre, at internettet forbliver globalt og åbent, at teknologierne er menneskecentrerede, privatlivsorienterede, og at de anvendes lovligt, sikkert og etisk korrekt. Som led i sin kommende standardiseringsstrategi bør EU fastlægge sine mål for international standardisering og gennemføre proaktive og koordinerede oplysningskampagner for at fremme disse mål på internationalt plan. Der bør stræbes efter et stærkere samarbejde og byrdefordeling med ligesindede partnere og europæiske interessenter. Fremme af ansvarlig statslig adfærd i cyberspace EU vil fortsat arbejde sammen med de internationale partnere om at fremme et globalt, åbent, stabilt og sikkert cyberspace, hvor folkeretten, navnlig De Forenede Nationers pagt (FN-pagten) , overholdes, og de frivillige, ikkebindende normer, regler og principper for ansvarlig statslig adfærd efterkommes. Med svækkelsen af den multilaterale debat om den internationale sikkerhed i cyberspace er der et klart behov for, at EU og medlemsstaterne indtager en mere proaktiv holdning i drøftelserne i FN og andre relevante internationale fora. EU er bedst rustet til at fremme, koordinere og konsolidere medlemsstaternes holdninger i internationale fora og bør udarbejde en EU-holdning om anvendelsen af folkeretten i cyberspace. Den højtstående repræsentant vil i samarbejde med medlemsstaterne præsentere deres inkluderende og konsensusbaserede forslag til et politisk engagement i et handlingsprogram til fremme af ansvarlig statslig adfærd i cyberspace i FN. Handlingsprogrammet, der bygger på gældende EU-ret som godkendt af FN's Generalforsamling, udgør en platform for samarbejde og udveksling af bedste praksis inden for FN og indeholder forslag om, at der oprettes en mekanisme til at indføre normerne for ansvarlig statslig adfærd i praksis og fremme kapacitetsopbygning. Desuden sigter den højtstående repræsentant mod at styrke og tilskynde til gennemførelse af tillidsskabende foranstaltninger mellem stater, herunder udveksling af bedste praksis på regionalt og multilateralt plan og medvirken til et tværregionalt samarbejde. Øget global konnektivitet bør ikke medføre censur, masseovervågning, brud på datasikkerheden og undertrykkelse af civilsamfundet, den akademiske verden og borgerne. EU bør fortsat føre an hvad angår beskyttelse og fremme af menneskerettighederne og de grundlæggende frihedsrettigheder online. I denne forbindelse bør EU fremme yderligere overholdelse af international menneskerettighedslovgivning og internationale menneskerettighedsstandarder og gennemføre sin handlingsplan om menneskerettigheder og demokrati 2020-2024 samt fremlægge sine menneskerettighedsbaserede retningslinjer for ytringsfrihed online og offline og dermed sætte skub i den praktiske anvendelse af EU's instrumenter. EU bør gøre en vedvarende indsats for at beskytte menneskerettighedsforkæmpere, civilsamfundet og akademikere, der arbejder med emner som cybersikkerhed, databeskyttelse, overvågning og onlinecensur. I dette øjemed bør EU give yderligere praktisk vejledning, fremme bedste praksis og optrappe sin indsats for at forhindre misbrug af nye teknologier, navnlig ved anvendelse af diplomatiske foranstaltninger, hvor det er nødvendigt, samt eksportkontrol af sådanne teknologier. EU bør også fortsætte sin kamp for at beskytte de mest sårbare medlemmer af onlinesamfundet ved at komme med lovgivning om bedre beskyttelse af børn mod seksuelt misbrug og seksuel udnyttelse og en strategi for børns rettigheder. Budapestkonventionen om IT-kriminalitet

EU støtter fortsat tredjelande, der ønsker at tiltræde Europarådets konvention om IT-kriminalitet (Budapestkonventionen) og arbejder på at færdiggøre den anden tillægsprotokol til Budapestkonventionen, som indeholder foranstaltninger og forholdsregler til forbedring af det internationale samarbejde mellem retshåndhævende og retslige myndigheder samt mellem myndigheder og tjenesteudbydere i andre lande. Kommissionen deltager i forhandlingerne om den anden tillægsprotokol på EU's vegne . Det nuværende initiativ vedrørende et nyt retligt instrument om cyberkriminalitet i FN-regi risikerer at forstærke splittelserne og bremse de hårdt tiltrængte nationale reformer og den tilhørende indsats for kapacitetsopbygning, hvilket potentielt kan forhindre et effektivt internationalt samarbejde om bekæmpelse af cyberkriminalitet. EU mener ikke, at der er behov for et nyt retligt instrument vedrørende cyberkriminalitet på FN-plan. EU deltager fortsat i de multilaterale udvekslinger om cyberkriminalitet for at sikre overholdelsen af menneskerettighederne og de grundlæggende frihedsrettigheder gennem inklusivitet og gennemsigtighed og under hensyntagen til den tilgængelige ekspertviden med det formål at skabe merværdi for alle. 3.2 Samarbejde med partnere og multiinteressentfællesskabet EU bør styrke og udvide sin cyberdialog med tredjelande for at fremme sine værdier og visioner for cyberspace, udveksle bedste praksis og søge at skabe et mere effektivt samarbejde. EU bør også indgå i strukturerede udvekslinger med regionale organisationer som Den Afrikanske Union, ASEAN Regional Forum, Organisationen af Amerikanske Stater og Organisationen for Sikkerhed og Samarbejde i Europa. Samtidig bør EU, hvor det er muligt og hensigtsmæssigt, bestræbe sig på at finde fælles fodfæste med andre partnere med udgangspunkt i emner af fælles interesse. I samarbejde med EU's delegationer og eventuelt medlemsstaternes ambassader rundt om i verden bør EU oprette et uformelt EU-netværk for cyberdiplomati for at fremme EU's vision for cyberspace, udveksle oplysninger og regelmæssigt koordinere udviklingen i cyberspace . På grundlag af de fælles erklæringer af 8. juli 2016 og 10. juli 2018 bør EU fortsat fremme samarbejdet mellem EU og NATO, navnlig med hensyn til kravene om cyberforsvarsinteroperabilitet. I denne forbindelse bør EU fortsætte arbejdet med at tilslutte de relevante FSFP-strukturer til NATO's Federated Mission Networking og dermed sikre netværksinteroperabiliteten med NATO og partnerne, når det er nødvendigt. Desuden bør samarbejdet mellem EU og NATO om uddannelse, træning og øvelser udforskes yderligere, bl.a. ved at søge synergier mellem Det Europæiske Sikkerheds- og Forsvarsakademi og NATO's cyberforsvarscenter. EU støtter og fremmer på det kraftigste multiinteressentmodellen for internetforvaltning i overensstemmelse med EU's værdier. Ingen enhed, regering eller international organisation bør forsøge at kontrollere internettet alene. EU bør fortsat deltage i fora for at styrke samarbejdet og sikre beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig retten til værdighed, privatlivets fred og ytrings- og informationsfriheden. For at komme videre med multiinteressentsamarbejdet om cybersikkerhed sigter Kommissionen og den højtstående repræsentant mod, i overensstemmelse med deres respektive kompetencer, at styrke regelmæssige og strukturerede udvekslinger med interessenterne, herunder den private sektor, den akademiske verden og civilsamfundet, idet det understreges, at sammenkoblingen af cyberspace kræver, at alle interessenter dialogerer om og påtager sig deres specifikke ansvar for at opretholde et globalt, åbent, stabilt og sikkert cyberspace. Dette arbejde vil give værdifuldt input til potentielle nøgleaktioner på EU-plan. 3,3. Styrkelse af den globale kapacitet for at øge den globale modstandsdygtighed For at sikre, at alle lande kan nyde godt af de sociale, økonomiske og politiske fordele ved internettet og anvendelsen af teknologier, vil EU fortsat støtte sine partnere i deres bestræbelser på at forbedre deres cyberrobusthed og kapacitet til at efterforske og retsforfølge cyberkriminalitet og imødegå cybertrusler. For at sikre den overordnede sammenhæng bør EU opstille en dagsorden for ekstern cyberkapacitetsopbygning for at lede dette arbejde i henhold til EU's retningslinjer for ekstern cyberkapacitetsopbygning og 2030-dagsordenen for bæredygtig udvikling. Dagsordenen bør udnytte medlemsstaternes og de relevante EU-institutioners, -organers og -agenturers ekspertviden og initiativer, herunder EU's netværk for cyberkapacitetsopbygning , i overensstemmelse med deres respektive mandater. Der skal oprettes et europæisk råd for cyberkapacitetsopbygning, som samler relevante institutionelle interessenter i EU og overvåger fremskridt og identificerer yderligere synergier og potentielle fejl og mangler. Rådet kan desuden støtte samarbejdet med medlemsstaterne samt med partnere fra den offentlige og private sektor og andre relevante internationale organer for at sikre, at indsatsen koordineres, og undgå dobbeltarbejde. EU's cyberkapacitetsopbygning bør fortsat fokusere på Vestbalkan og EU's nabolande samt på partnerlande, der oplever en hastig digital udvikling. EU's arbejde bør støtte udarbejdelsen af lovgivning og politikker i partnerlandene i overensstemmelse med EU's relevante politikker og standarder for cyberdiplomati. I denne forbindelse bør EU's kapacitetsopbygningsindsats inden for digitalisering som standard omfatte cybersikkerhed. I dette øjemed bør EU udvikle et uddannelsesprogram for EU-personale med ansvar for gennemførelsen af EU's indsats inden for digital og ekstern cyberkapacitetsopbygning. EU bør desuden hjælpe disse lande med at tackle de tiltagende udfordringer som følge af ondsindede cyberaktiviteter, der skader udviklingen i deres samfund og de demokratiske systemers integritet og sikkerhed, i overensstemmelse med indsatsen under den europæiske handlingsplan for demokrati. Peer-to-peer-læring mellem EU-medlemsstaterne og de relevante EU-agenturer og tredjelande kan være særlig nyttig i denne henseende. Endelig kan civile FSFP-missioner inden for rammerne af den civile FSFP-aftale fra 2018 også bidrage til EU's bredere indsats for at tackle cybersikkerhedsudfordringer, navnlig ved at styrke retsstatsprincippet og de retshåndhævende og civile myndigheders kapacitet i partnerlandene. Strategiske initiativer EU bør: ·definere en række mål i internationale standardiseringsprocesser og fremme disse på internationalt plan ·fremme international sikkerhed og stabilitet i cyberspace, navnlig gennem forslaget fra EU og medlemsstaterne til et handlingsprogram for fremme af ansvarlig statslig adfærd i cyberspace (PoA) i De Forenede Nationer ·tilbyde praktisk vejledning om anvendelse af menneskerettigheder og grundlæggende frihedsrettigheder i cyberspace ·bedre beskytte børn mod seksuelt misbrug og seksuel udnyttelse samt en strategi for børns rettigheder ·styrke og fremme Budapestkonventionen om IT-kriminalitet, herunder gennem arbejdet med anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet ·udvide EU's dialog med tredjelande, regionale og internationale organisationer om cyberspørgsmål, herunder gennem et uformelt cyberdiplomatisk EU-netværk ·styrke udvekslingerne med multiinteressentfællesskabet, navnlig ved regelmæssige og strukturerede udvekslinger med den private sektor, den akademiske verden og civilsamfundet og ·stille forslag om en dagsorden for EU's eksterne cyberkapacitetsopbygning samt et råd for EU's cyberkapacitetsopbygning. III.CYBERSIKKERHED I EU'S INSTITUTIONER, ORGANER OG AGENTURER På grund af deres politiske synlighed, kritiske missioner med hensyn til koordinering af meget følsomme emner samt deres rolle i forvaltning af store summer af offentlige midler er EU's institutioner, organer og agenturer regelmæssigt mål for cyberangreb, særligt cyberspionage. Men graden af cyberrobusthed og evnen til at reagere på ondsindede cyberaktiviteter varierer betydeligt i disse enheder for så vidt angår modenhed. Det er derfor nødvendigt at styrke det generelle cybersikkerhedsniveau ved hjælp af konsekvente og ensartede regler. På IT-sikkerhedsområdet er der gjort fremskridt hen imod mere konsekvente regler for beskyttelse af EU's klassificerede informationer samt følsomme ikkeklassificerede oplysninger. Interoperabiliteten mellem klassificerede IT-systemer er dog stadig begrænset, hvilket forhindrer sømløs overførsel af oplysninger mellem de forskellige enheder. Der bør gøres yderligere fremskridt i retning af at muliggøre en interinstitutionel tilgang til behandlingen af EU's klassificerede informationer og følsomme ikkeklassificerede oplysninger, som også kan fungere som model for interoperabilitet medlemsstaterne imellem. Der bør også etableres en referenceværdi for at forenkle procedurer indledt med medlemsstaterne. EU bør også yderligere styrke sine muligheder for at kommunikere med relevante partnere på en sikker måde, der i videst muligt omfang bygger på eksisterende ordninger og procedurer. Som det fremgår af Unionens sikkerhedsstrategi, vil Kommissionen derfor foreslå fælles bindende regler om informationssikkerhed og fælles bindende regler for cybersikkerhed for alle EU's institutioner, organer og agenturer i 2021, baseret på EU's igangværende interinstitutionelle drøftelser om cybersikkerhed. Den nuværende situation og fremtidige tendenser med hensyn til telearbejde vil desuden kræve yderligere investeringer i sikkerhedsudstyr, infrastrukturer og værktøjer, der giver mulighed for at arbejde hjemmefra med følsomme og klassificerede filer. Det stadig mere fjendtlige cybertrusselsbillede og det stigende antal mere avancerede cyberangreb mod EU's institutioner, organer og agenturer øger desuden behovet for større investering for at nå et højt modenhedsniveau for så vidt angår cybersikkerhed. Der er indført et oplysningsprogram vedrørende cybersikkerhed for alle EU's institutioner, organer og agenturer til fremme af personalets bevidsthed og cyberhygiejnen og til understøttelse af en fælles kultur for cybersikkerhed. Styrkelsen af CERT-EU med en forbedret finansieringsmekanisme er nødvendig for at øge dens evne til at hjælpe EU's institutioner, organer og agenturer med at anvende de nye regler for cybersikkerhed og forbedre deres cyberrobusthed. CERT-EU's mandat skal også styrkes, således at den kan opnå disse målsætninger på en stabil måde. Strategiske initiativer 1.Forordning om informationssikkerhed i EU's institutioner, organer og agenturer 2.Forordning om fælles regler for cybersikkerhed for EU's institutioner, organer og agenturer 3.Nyt retsgrundlag for styrkelse af CERT-EU's mandat og finansiering. IV.KONKLUSIONER Den samordnede gennemførelse af denne strategi bidrager til et cybersikkert digitalt årti for EU, etablering af en sikkerhedsunion og til styrkelse af EU's position på verdensplan.