DA Den Europæiske Unions Tidende C 255/98

Det Europæiske Økonomiske og Sociale Udvalgs udtalelse om Meddelelse fra Kommissionen til Rådet, Europa-Parlamentet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget om beskyttelse af kritisk informationsinfrastruktur »Beskyttelse mod storstilede cyberangreb og sammenbrud: øget beredskab, sikkerhed og robusthed«

KOM(2009) 149 endelig

(2010/C 255/18)

Ordfører: Thomas McDONOGH

Kommissionen for De Europæiske Fællesskaber besluttede den 30. marts 2009 under henvisning til EF-traktatens artikel 262 at anmode om Det Europæiske Økonomiske og Sociale Udvalgs udtalelse om:

Meddelelse fra Kommissionen til Rådet, Europa-Parlamentet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget om beskyttelse af kritisk informationsinfrastruktur – »Beskyttelse mod storstilede cyberangreb og sammenbrud: øget beredskab, sikkerhed og robusthed«

KOM(2009) 149 endelig.

Det forberedende arbejde henvistes til Den Faglige Sektion for Transport, Energi, Infrastruktur og Informationssamfundet, som udpegede Thomas McDonogh til ordfører. Sektionen vedtog sin udtalelse den 12. november 2009

Det Europæiske Økonomiske og Sociale Udvalg vedtog følgende udtalelse på sin 458. plenarforsamling den 16.-17. december 2009 (mødet den 16. december 2009) med 179 stemmer for og 4 hverken for eller imod.

1. Konklusioner og henstillinger

1.1 EØSU ser positivt på Kommissionens meddelelse om en handlingsplan om beskyttelse af kritisk informationsinfrastruktur i Europa. EØSU ser ligesom Kommissionen med bekymring på Europas sårbarhed over for storstilede cyberangreb, tekniske fejl, menneskeskabte angreb og naturkatastrofer samt de enorme skader, det kan medføre for borgernes økonomi og velfærd. Vi er enige med Kommissionen i, at der snarest bør gøres noget for at øge EU's koordinering og samarbejde for at løse dette vigtige problem. Vi er også enige i behovet for en hurtig opbygning af en omfattende politikramme for beskyttelse af kritisk informationsinfrastruktur.

1.2 EØSU noterer sig konklusionerne fra EU's ministermøde om beskyttelse af kritisk informationsinfrastruktur og er alarmeret over, at EU er dårligt forberedt på at håndtere storstilede cyberangreb eller forstyrrelser af kritisk informationsinfrastruktur, da de enkelte medlemsstaters tilgange til beskyttelse af kritisk informationsinfrastruktur ofte er forskellige og utilstrækkeligt koordineret. Der er almen forståelse af, hvordan udviklingen af internettet og en manglende tænken i store systemer, hvad angår informationsinfrastrukturers sikkerhed og robusthed, har bragt os i den alvorlige situation, vi nu befinder os i. Nu, hvor behovet for handling er blevet konstateret, opfordrer EØSU imidlertid Kommissionen til at træde i karakter og straks få bragt dette problem i orden.

1.3 EØSU støtter handlingsplanen på højt niveau med dens »fem søjler«, der opridses i meddelelsen, og roser Kommissionen for dens arbejde. Det er ekstremt vanskeligt at udvikle en integreret tilgang med mange forskellige parter og på mange forskellige niveauer, som sikrer den kritiske informationsinfrastrukturs sikkerhed og robusthed, især når der er tale om en så usammenhængende gruppe interessenter og europæiske informationsinfrastrukturer af en sådan kompleksitet. EØSU erkender også ENISA's støtte og bidrag til opfyldelsen af meddelelsens mål.

1.4 EØSU bemærker, at interessenterne ikke har gjort nok for at gennemføre Rådets resolution 2007/C 68/01, der jo berører IKT-infrastrukturens sikkerhed og robusthed (1). Vanskeligheden med at udvikle en effektiv politik til at beskytte EU's mest kritiske informationsinfrastruktur gavner dem, som ønsker at angribe den kritiske informationsinfrastruktur af politiske eller økonomiske årsager. EØSU ser derfor gerne mere selvsikkerhed fra Kommissionen om den stærke lederrolle, der er nødvendig for at forene alle interessenter og gennemføre effektive foranstaltninger til beskyttelse af EU fra eventuelle trusler mod dens kritiske informationsinfrastrukturer. EØSU mener ikke, at den handlingsplan, der er opridset i meddelelsen, vil levere de tilsigtede resultater, medmindre ansvaret for at gennemføre den bliver placeret hos en passende lovgivende myndighed.

1.5 EØSU gør Kommissionen opmærksom på tidligere EØSU-udtalelser, som kommenterede behovet for et sikkert informationssamfund, internetsikkerhedsspørgsmål og beskyttelse af kritiske infrastrukturer.

2. Anbefalinger

2.1 Den Europæiske Union bør overlade det til en passende lovgivende myndighed, herunder medlemmer af det Europæiske Agentur for grundlæggende rettigheder, at gennemføre en effektiv beskyttelse af kritisk informationsstruktur i hele EU.

2.2 Alle medlemsstater bør udvikle en national strategi, en solid politisk og lovgivningsmæssig ramme, helhedsorienterede nationale risikostyringsprocedurer og passende beredskabsforanstaltninger og -mekanismer. I den forbindelse bør hver medlemsstat oprette en IT-beredskabsenhed (CERT – »Computer Emergency Response Team«) og tilknytte den til den europæiske styringsgruppe for IT-beredskabsenheder EGC (»European Governmental Group of CERTs«) (2).

2.3 Kommissionen bør fremskynde sit arbejde om etableringen af EP3R (»European Public Private Partnership for Resilience«) og integrere den med arbejdet i ENISA (»European Network and Information Security Agency«) og EGC.

2.4 Bedst praksis inden for risikostyring bør præge politikken for beskyttelse af kritisk informationsinfrastruktur på alle niveauer. Især bør de potentielle udgifter til sikkerhed og robusthedsvigt kvantificeres og gøres bekendt for de relevante ansvarlige interessenter.

2.5 Finansielle og andre sanktioner bør iværksættes over for interessenter, som ikke opfylder deres ansvar under en politik for beskyttelse af kritisk informationsinfrastruktur. Sanktionerne skal stå i forhold til risikoen og omkostningerne ved systemsvigt som følge af forsømmelse.

2.6 Ansvaret for den kritiske informationsinfrastrukturs sikkerhed og robusthed bør især påhvile de større interessenter – myndigheder og infrastruktur- og teknologileverandører – og de bør ikke få lov til at forflygtige deres ansvar ved at lægge det over på erhvervskunder og private kunder.

Sikkerhed og robusthed bør være designkrav i alle informations- og kommunikationsteknologiske systemer, der indføres i EU. Vi tilskynder private interessenter inden for beskyttelse af kritisk informationsinfrastruktur til løbende at tilstræbe forbedringer på særlige robusthedsrelaterede områder – f.eks. netværksforvaltning, risikostyring og virksomhedskontinuitet.

2.7.1 Etablering og håndhævelse af god praksis og standarder bør være et fundamentalt led i enhver politik, der skal håndtere forebyggelse af svigt, foranstaltninger til situationsreaktion og genopretning af kritisk informationsinfrastruktur.

2.7.2 Der bør gives prioritet til gennemførelse af Ipv6- (den seneste protokol for internetadresser) og DNSSEC-teknologier (serie af sikkerhedsforbedringer til internettets domænenavnesystem), på hele internettet i EU, hvilket vil forbedre internetsikkerheden.

2.8 Vi tilskynder offentlige og private interessenter til at samarbejde løbende om at afprøve deres beredskab og reaktionsforanstaltninger gennem øvelser. Vi støtter fuldt ud Kommissionens forslag i denne meddelelse om at afholde den første fælleseuropæiske øvelse senest i 2010.

2.9 En stærk informationssikkerhedsindustri bør fremmes i EU, så man kommer på højde med det kompetenceniveau, som den særdeles velfinansierede industri i USA opviser. Investeringerne i F&U vedrørende beskyttelse af kritisk informationsinfrastruktur bør øges betydeligt.

2.10 Finansieringen bør øges for kompetenceudvikling og viden- og bevidsthedsprogrammer inden for cybersikkerhed.

2.11 Informations- og støttekontorer bør etableres i alle medlemsstater for at hjælpe SMV'er og borgere med at forstå og leve op til deres ansvar i forbindelse med en politik for kritisk informationsinfrastruktur.

2.12 Af sikkerhedshensyn bør EU forstærke sin position, hvad angår fremtidens internetforvaltning (3), hvilket kræver en mere multilateral fremgangsmåde, som respekterer USA's nationale prioriteter, men som også spejler EU's interesser. EU bør lade sine tiltag på området være genstand for grundige overvejelser om samspillet mellem cybersikkerhed og overholdelse af borgernes og den enkeltes grundlæggende frihedsrettigheder.

3. Generel baggrund

Truslen fra storstilede cyberangreb på kritiske informationsinfrastrukturer

3.1.1 Kritisk informationsinfrastruktur omfatter informations- og kommunikationsteknologi (IKT), som udgør den grundlæggende informations- og kommunikationsplatform for tilvejebringelse af basale varer og tjenesteydelser, herunder altafgørende samfundsfunktioner som f.eks. elforsyning, vand, transport, bankvæsen, sundhedsvæsen og nødtjenester.

3.1.2 Kritisk informationsinfrastruktur er kendetegnet ved en høj grad af kompleks systemintegration, indbyrdes afhængighed med andre infrastrukturer (f.eks. elforsyning) samt grænseoverskridende indbyrdes forbundethed. Disse komplicerede infrastrukturer udsættes for utallige risici, der kan medføre katastrofale systemsvigt, som påvirker kritiske samfundstjenester i flere medlemsstater. Risiciene skyldes menneskelige fejl, tekniske fejl, menneskeskabte angreb (herunder kriminelle og politisk motiverede angreb) og naturkatastrofer. En risikoanalyse påviser sådanne systemers mangler og afdækker samtidig muligheden for en kontrolovertagelse med metoder, der tilsigtet eller utilsigtet, kan virke som overgreb mod borgernes og den enkeltes grundlæggende frihedsrettigheder. Kommissionen har til opgave at overholde de grundlæggende rettigheder, når fællesskabsretten udformes.

3.1.3 Myndigheder og udbydere af livsvigtige tjenesteydelser offentliggør ikke sikkerheds- og robusthedssvigt, medmindre de er nødt til. Men der har faktisk været utallige offentlige eksempler på truslen mod kritisk infrastruktur fra sikkerheds- og robusthedssvigt i kritisk informationsinfrastruktur:

— Storstilede cyberangreb fandt sted i Estland, Litauen og Georgien i 2007 og 2008.

— Brud på transkontinentale undervandskabler i Middelhavet og Den Persiske Golf i 2008 påvirkede internettrafikken i mange lande.

— I april 2009 oplyste nationale efterretningseksperter fra USA, at »cyberspioner« var trængt ind i USA's elnet og havde efterladt softwareprogrammer, der kunne bruges til at afbryde systemet.

— I juli stod USA og Sydkorea over for et meget offentligt såkaldt »denial-of-service«-angreb, der skulle sætte systemet ude af drift (det involverede 100 000 – 200 000»zombie«-PC'er), der påvirkede adskillige regeringswebsteder.

3.1.4 Problemet bliver betydeligt forværret af kriminelle banders ondsindede hensigter og brugen af cyberkrig af politiske grunde.

— Ved at udnytte svagheder i styresystemer i PC'er, der er tilkoblet internettet, har kriminelle bander skabt såkaldte »botnet« – PC'er, der er netværksforbundet af malware (skadelig software), så de bliver til en enkelt virtuel computer, der fjernstyres af de kriminelle (som »zombier« eller »droner«). Disse botnet bruges til mange forskellige kriminelle aktiviteter og til at støtte storstilede cyberangreb fra terrorister og regeringer, der fører cyberkrig, og som »lejer« brugen af botnet fra de kriminelle. Det menes, at et sådant botnet med navnet »Conficker« har over 5 millioner PC'er til rådighed.

3.1.5 De økonomiske omkostninger ved kritisk informationsinfrastrukturs svigt kan være ekstremt høje. Det Verdensøkonomiske Forum har anslået, at der er en 10-20 % sandsynlighed for et større sammenbrud i kritisk informationsinfrastruktur inden for de næste 10 år med en potentiel global omkostning på 250 milliarder dollars og tusinder af menneskeliv.

Problemet med beredskab, sikkerhed og robusthed

3.2.1 Internettet er den primære platform, som en stor del af Europas kritiske informationsinfrastruktur er baseret på. Internettets arkitektur bygger på, at millioner af computere er indbyrdes forbundet, og at edb, kommunikation og kontrol er distribueret globalt. Denne distribuerede arkitektur er nøglen til at gøre internettet stabilt og robust, med hurtig genetablering af trafikstrømme, når et problem opstår. Det indebærer imidlertid også, at storstilede cyberangreb kan lanceres fra udkanten af et netværk, f.eks. ved hjælp af botnet, af enhver bandit, som har sat sig det for, og som besidder den grundlæggende viden.

3.2.2 Globale kommunikationsnetværk og kritisk informationsinfrastruktur indebærer en høj grad af sammenkobling henover grænserne. Hvis der er begrænset sikkerhed og netværksrobusthed i et land, kan det altså negativt påvirke den kritiske informationsinfrastrukturs sikkerhed og robusthed i alle de andre lande, som det er forbundet med. Den internationale sammenkobling gør det nødvendigt for EU at have en integreret politik for forvaltning af kritisk informationsinfrastrukturs sikkerhed og robusthed i hele EU.

3.2.3 Der er begrænset viden og bevidsthed blandt interessenter og i mange medlemsstater om de risici, der er i forbindelse med kritisk informationsinfrastruktur. Yderst få lande har en omfattende politik for forvaltning af disse risici.

3.2.4 De foreslåede reformer af regelsættet for elektroniske kommunikationsnet og -tjenester vil skærpe netværksoperatørernes forpligtelser til at sikre, at der træffes passende forholdsregler med henblik på at identificere risici, garantere kontinuiteten i leveringen af tjenester og anmelde brud på sikkerheden (4).

3.2.5 Langt hovedparten af de teknologier, der støtter platformen for kritisk informationsinfrastruktur, leveres af den private sektor, og sikring af ordentligt samarbejde for at opnå effektiv beskyttelse af kritisk informationsinfrastruktur stiller i betydeligt omfang krav om stor kompetence, tillid, gennemsigtighed og kommunikation mellem alle interessenter – myndighederne, erhvervslivet og forbrugerne.

3.2.6 En international tilgang med forskellige interessenter på flere niveauer er afgørende.

3.3 En handlingsplan i fem søjler

Kommissionen foreslår en handlingsplan i fem søjler for at imødegå disse udfordringer:

1. Beredskab og forebyggelse: at sikre beredskabet på alle planer

2. Opdagelse og reaktion: at sørge for tilstrækkelige forvarslingsordninger

3. Afhjælpning og genopretning: at styrke EU's forsvarsmekanismer i forbindelse med kritisk informationsinfrastruktur

4. Internationalt samarbejde: at fremme EU's mål på internationalt plan

5. Kriterier for ikt-sektoren: at støtte gennemførelsen af direktivet om indkredsning og udpegning af europæisk kritisk infrastruktur (5).

Specifikke mål er opstillet under hver af disse rubrikker med måldatoer for visse af dem, som går til udgangen af 2011.

4. Bemærkning

4.1 Det vil blive meget svært at udvikle og gennemføre en effektiv strategi til beskyttelse af kritisk informationsinfrastruktur med den fremgangsmåde, der opridses i meddelelsen, og som i høj grad er baseret på høring, frivillighedsprincippet og samarbejde. I betragtning af udfordringens alvor og presserende karakter anbefaler EØSU, at Kommissionen undersøger den britiske og amerikanske strategi med at overdrage ansvar og beføjelser til en passende regeludstedende myndighed.

4.2 EØSU er enig i opfordringen i FN's generalforsamlings resolution 58/199 om En verdensomspændende internetsikkerhedskultur og beskyttelse af kritisk informationsinfrastruktur. I betragtning af landes gensidige afhængighed af sikker og robust kritisk informationsinfrastruktur – »en kæde er ikke stærkere end det svageste led« – er det alarmerende, at kun 9 medlemsstater indtil nu har etableret it-beredskabsenheder og tilsluttet sig EGC (»European Government CERTs Group«). Etablering af sådanne team er nødt til at blive prioriteret højere på den mellemstatslige dagsorden.

4.3 Interessenter i EU's internetsikkerhed omfatter alle borgere, hvis liv måtte afhænge af livsvigtige serviceydelser. De samme borgere har et ansvar for at beskytte deres internetforbindelse fra angreb efter bedste evne. Et endnu større ansvar har teknologi- og tjenesteleverandørerne af ikt, som udbyder kritisk informationsinfrastruktur. Det er afgørende, at alle interessenter bliver tilstrækkeligt informeret om internetsikkerhed. Det er også vigtigt, at EU har et stort antal kompetente eksperter inden for sikkerhed og ikt-robusthed.

4.4 EØSU henstiller, at alle medlemsstater har en organisation, hvis opgave det er at informere, uddanne og støtte SMV-sektoren om internetsikkerhed. De større virksomheder kan let indhente den viden, de har brug for, men SMV'erne har brug for støtte.

4.5 Eftersom leveringen af kritisk informationsinfrastruktur for det meste hviler på private hænder, er det vigtigt at fremme et højt niveau af tillid og samarbejde med alle virksomheder, der er ansvarlige for kritisk informationsinfrastruktur. EP3R-initiativet, der blev iværksat af Kommissionen i juni, fortjener ros og opmuntring. EØSU finder imidlertid, at initiativet er nødt til at blive understøttet af lovgivning for at fremtvinge et samarbejde mellem interessenter, som ikke agerer ansvarligt.

4.6 Risikostyring er til for at hjælpe til med at løse den slags problemer, som er omtalt i denne udtalelse. Kommissionen bør insistere på, at god praksis inden for risikostyring efterleves, hvor dette anses for passende inden for dens handlingsplan. Det er især vigtigt at kvantificere risici og omkostninger ved fejl på alle niveauer i de kritiske informationsinfrastrukturer. I de tilfælde, hvor sandsynligheden for og den mulige omkostning ved svigt kendes, er det lettere at motivere interessenterne til at træffe foranstaltninger. Det er også lettere at holde dem finansielt ansvarlige for at have forsømt deres ansvar.

4.7 Store interessenter søger at begrænse deres ansvar ved at bruge deres markedsindflydelse til at tvinge kunder eller leverandører til at godkende betingelser, som dækker den store virksomhed ind i forhold til dens egentlige ansvar, f.eks. softwarelicensaftaler eller ISP-sammenkoblingsaftaler, som indskrænker ansvaret for sikkerhedsspørgsmål. Disse aftaler bør forbydes, og ansvaret bør ligge hos den største part.

4.8 Sikkerhed og robusthed kan og bør indarbejdes i ethvert ikt-netværks design. Som prioritet bør netværksarkitekturens topologi i medlemsstaterne og EU som helhed studeres for at udpege uacceptable koncentrationer af kommunikationstrafik og punkter i netværkene med høj risiko for svigt. Især udgør den høje koncentration af internettraffik i nogle meget få internetudvekslingspunkter (IXP) i visse medlemsstater en uacceptabel risiko.

4.9 EØSU gør også Kommissionen opmærksom på sine bemærkninger til KOM(2008) 313 endelig om Videreudvikling af Internettet – Handlingsplan for iværksættelsen af internetprotokol version 6 (IPv6) i Europa (6), som fremhævede de sikkerhedsmæssige fordele ved at indføre Ipv6 på hele EU's internet. Vi henstiller også, at DNSSEC-teknologierne gennemføres, hvor dette kan lade sig gøre, for at øge internetsikkerheden.

4.10 Med lanceringen af sin politik om sikkerheden på internettet planlægger USA at bruge 40 mia. dollars i 2009 og 2010 på internetsikkerhed. Dette er en massiv indsprøjtning af midler i sikkerhedssektoren og vil medføre, at en masse it-sikkerhedsfirmaer, herunder europæiske, vil koncentrere deres indsats i USA. Det vil også stimulere de amerikanske sikkerhedsvirksomheder til at blive førende i verden. Det er særdeles ønskeligt, at EU har sin egen avancerede industri, der konkurrerer på lige fod med amerikanske virksomheder, og at sikkerhedsindustrien kan yde en tilsvarende indsats og sætte lige så stor fokus på EU's infrastrukturbehov. EØSU opfordrer Kommissionen til at overveje, hvordan den kan danne modvægt mod den massive finansielle stimulering, som USA tilvejebringer.

4.11 EØSU støtter Kommissionens nylige meddelelse om forvaltningen af internettet fremover (3). EØSU mener, at EU skal have en mere direkte indflydelse på politik og praksis i ICANN (»Internet Corporation for Assigned Names and Numbers«) og IANA (»Internet Assigned Numbers Authority«), og at USA's nuværende unilaterale tilsyn bør erstattes af ordninger med multilateralt, internationalt ansvar.

Bruxelles, den 16. december 2009 Mario SEPI Formand for Det Europæiske Økonomiske og Sociale Udvalg

(1) KOM(2006) 251.

(2) http://www.egc-group.org

(3) KOM(2009) 277 endelig.

(4) Artikel 13a og 13b i KOM(2007) 697 (endelig) genfremsatte ændringer til Direktiv 2002/21/EØF.

(5) Direktiv 2008/114/EF.

(6) EUT C 175 af 28.7.2009, s. 92.