FÆLLES MEDDELELSE TIL EUROPA-PARLAMENTET OG RÅDET

Rapport om gennemførelsen af EU's strategi for cybersikkerhed for det digitale årti

I.Cyberrobusthed, operationel kapacitet og åbenhed er vigtigere end nogensinde før

Cybersikkerhed er uundværlig for udbredelsen af grønnere og mere intelligent teknologi i verden efter pandemien. Den er overordnet set uundværlig for EU's sikkerhed og er en søjle i sikkerhedsunionen. Social, politisk og økonomisk udvikling kræver teknologisk suverænitet og et globalt, åbent og sikkert cyberspace, der er baseret på retsstatsprincippet og respekt for menneskerettighederne og de grundlæggende frihedsrettigheder. Sådan lød den centrale forudsætning i den fælles meddelelse fra Kommissionen og den højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik om EU's strategi for cybersikkerhed for det digitale årti, der blev vedtaget den 16. december 2020. Alle kritiske enheder er potentielle ofre for cyberangreb. Udviklingen i de seneste seks måneder har styrket strategiens fokus på at fremskynde lovgivningsreformer, investeringer og kollektive operationelle reaktioner.

Nylige cyberangreb har især vist den øgede udbredelse af ransomware og cyberspionage og den voksende risiko, de udgør for alle sektorer i økonomien og samfundet som helhed. Hændelsernes omfang har været ekstraordinært: hundredtusindvis af servere blev ramt af angrebene på Microsoft Exchange, 18 000 organisationer blev potentielt berørt af SolarWinds Orion-kampagnen, følsomme oplysninger om hundredvis af patienter blev stjålet, og lægetjenester blev forstyrret af ransomwareangrebet på Irlands sundhedsvæsen, der opstod en brændstofkrise og forekom massivt datatyveri i cyberangrebet på Colonial Pipelines faktureringssystem samt forstyrrelse af driften af verdens største oksekødsleverandør. Selv om skadernes fulde omfang fortsat er uklart, understreger hver eneste hændelse de potentielt vidtrækkende konsekvenser af ondsindet udnyttelse af sårbarheder i informations- og kommunikationsteknologiprodukter, -tjenester, -systemer og -netværk. Sådanne cyberangreb kan forventes at blive hyppigere og mere alvorlige, ligesom de kan underminere vores sikkerhed.

Det er derfor vigtigt, at Den Europæiske Union hurtigt opnår resultater på alle fronter — lovgivningsmæssigt, operationelt, investeringsmæssigt og diplomatisk — som fastsat i strategien. Forslagene til et direktiv om foranstaltninger, der skal sikre et højt fælles cybersikkerhedsniveau i hele Unionen ("NIS2-direktivet"), til et direktiv om kritiske enheders robusthed samt til en forordning og et direktiv om digital operationel modstandsdygtighed bør vedtages snarest muligt. I denne forbindelse er det vigtigt at forfølge en ambitiøs tilgang, navnlig med hensyn til forsyningskæder, i lyset af hvordan sårbarheder i forbindelse med nylige cyberangreb blev sporet tilbage til softwareleverandører, og at træffe foranstaltninger, der sikrer de offentlige forvaltningers modstandsdygtighed og hurtig indberetning af hændelser. Behovet for at oprette et netværk af sikkerhedsoperationscentre (eller SOC'er) til tidlig opdagelse af signaler om cyberangreb er blevet mere presserende end nogensinde før, og det samme gælder behovet for at udvikle en troværdig, effektiv og kollektiv EU-reaktion, herunder på operationelt plan, på alvorlige hændelser gennem den fælles cyberenhed. I betragtning af stigningen i antallet af cyberangreb, der gennemføres af statslige eller statsstøttede aktører, skal ansvarlig statslig adfærd fortsat fremmes i FN samt gennem cyberdialoger og strukturerede udvekslinger med regionale organisationer, herunder Den Afrikanske Union, ASEAN Regional Forum, Organisationen af Amerikanske Stater (OAS) og Organisationen for Sikkerhedssamarbejde i Europa (OSCE), sammen med effektive diplomatiske tiltag for at forebygge, modvirke, hindre og reagere på ondsindet adfærd i cyberspace. Samarbejdet med ligesindede tredjelande og prioriteterne i den transatlantiske dagsorden vil have særlig betydning. Navnlig samarbejdet mellem EU og USA om specifikke cybersikkerhedsaspekter bør undersøges nærmere, herunder om informationsudveksling og bekæmpelse af ransomware.

II.Oversigt over de første seks måneder af gennemførelsen

Man er allerede kommet langt med en række strategiske tiltag.

II.1 Modstandsdygtighed, teknologisk suverænitet og lederskab

I hele verden er forsyningskæder og kritisk infrastruktur, herunder hospitaler, der bekæmper covid-19-pandemien, nu i konstant fare for cyberangreb. Kommissionen støtter medlovgiverne i at sikre en hurtig vedtagelse af den foreslåede reform af NIS-direktivet, som navnlig vil udvide dækningen af sundhedssektoren, herunder forskningslaboratorier og fremstilling af kritisk medicinsk udstyr og lægemidler, og nye aktiviteter i energisektoren såsom brintproduktion, fjernvarme, elproduktion og centrale olielagre.

Forordningen om oprettelse af kompetencecentret for cybersikkerhed og netværket af nationale koordinationscentre blev vedtaget den 20. maj 2021. Den vil samle ressourcer fra EU, medlemsstaterne og industrien for at forbedre og styrke den teknologiske og industrielle cybersikkerhedskapacitet, styrke EU's åbne strategiske autonomi og give mulighed for at konsolidere en del af de cybersikkerhedsrelaterede aktiviteter, der finansieres under Horisont Europa, programmet for et digitalt Europa og genopretnings- og resiliensfaciliteten — finansieringsstrømme på op til i alt 4,5 mia. EUR over de næste seks år. Dette vil støtte udviklingen af et EU-cyberskjold til tidlig opdagelse af cyberangreb inden 2023, der består af et netværk af centre for sikkerhedsoperationer, som både kan være offentlige eller private, og som vil udnytte værktøjer drevet af kunstig intelligens. Flere medlemsstater har medtaget udviklingen af sådanne nationale centre i deres respektive genopretnings- og resiliensplaner. Kommissionen vil supplere disse bestræbelser ved at tildele midler fra programmet for et digitalt Europa og støtte deres trinvise forbindelse. De finansielle programmer vil også støtte EuroQCI's initiativ til opbygning af en sikker kvantekommunikationsinfrastruktur, der dækker hele EU, herunder dets oversøiske territorier, ved hjælp af den bedste kombination af jordbaserede og rumbaserede teknologier og en særlig budgetpost til støtte for sundhedssektorens cyberrobusthed.

Sikring af 5G-cybersikkerhed er en løbende proces, der vil ledsage den gradvise udrulning af 5G og gennemførelsen af EU's 5G-værktøjskasse. De fleste medlemsstater har allerede — eller vil snart have — indført rammer for indførelse af passende restriktioner for 5G-leverandører. Kravene til mobilnetoperatører styrkes gennem gennemførelsen af kodeksen for elektronisk kommunikation, og EU's Agentur for Cybersikkerhed, ENISA, er ved at udarbejde et forslag til en EU-cybersikkerhedscertificeringsordning for 5G-net. I lyset af nye tendenser og udviklinger i 5G-forsyningskæden, har medlemsstaternes myndigheder besluttet at iværksætte en tilbundsgående analyse af de sikkerhedsmæssige konsekvenser af åbne, opdelte og interoperable netværksteknologiløsninger ("Open RAN") under EU-værktøjskassen. Resultatet af dette arbejde vil yderligere bidrage til EU's fælles tilgang til sikkerheden i 5G-net.

Der er behov for en større indsats, navnlig gennem EU's handlingsplan for digital uddannelse, for at afhjælpe den massive mangel på kvalificeret arbejdskraft, der forventes at nå op på næsten to millioner ubesatte stillinger inden for cybersikkerhed på verdensplan i 2022 og 350 000 alene i Europa, og den alvorlige underrepræsentation af kvinder, der kun udgør 11 % af den globale arbejdsstyrke inden for cybersikkerhed og en endnu lavere andel — 7 % — i Europa. Andre igangværende politiske initiativer omfatter forberedende arbejde med henblik på fremtidige sikkerhedsinitiativer vedrørende tingenes internet og, for så vidt angår internetstandarder, udvikling af en nonprofit-tjeneste til oversættelse af domænenavne ("DNS4EU").

II.2 Opbygning af operationel kapacitet til at forebygge, afværge og reagere

I kraft af stigningen i statslige og statsfinansierede samt kriminelle angreb på netværk og informationssystemer og den stigende afhængighed af databaser med følsomme oplysninger har EU behov for tættere sammenkobling af cybersamfundene. De skal reagere konsekvent på de civile, strafferetlige, diplomatiske og forsvarsmæssige aspekter af omfattende cyberangreb, som mange følsomme økonomiske sektorer for nylig har oplevet. Det er derfor nødvendigt, at alle samfund gør en indsats for at fuldføre de fire trin, der er skitseret i Kommissionens henstilling om opbygning af den fælles cyberenhed, der blev vedtaget samtidig med denne rapport, som en mekanisme til yderligere koordinering og udfyldning af huller i EU's reaktion på cybertrusler. I kampen mod cyberkriminalitet blev der opnået politisk enighed om den midlertidige forordning om bekæmpelse af seksuelt misbrug af børn online, som snart vil blive vedtaget, og Kommissionens nye strategi for organiseret kriminalitet fokuserer på behovet for at udstyre de retshåndhævende myndigheder med de nødvendige digitale værktøjer. Kommissionen vedtog også i februar 2020 en handlingsplan om synergier mellem de civile industrier og forsvars- og rumindustrierne, som identificerer et nyt flagskibsprojekt med henblik på etablering af et rumbaseret globalt system for sikker konnektivitet i EU. Den har til formål at give alle i Europa adgang til højhastighedsforbindelser og tilvejebringe et modstandsdygtigt konnektivitetssystem, der gør det muligt for Europa at forblive forbundet, uanset hvad der sker.

Set fra et internationalt perspektiv er den højtstående repræsentant i overensstemmelse med ambitionen i det strategiske kompas i øjeblikket ved at forberede revisionen af rammen for cyberforsvarspolitik, som skal forelægges for medlemsstaterne i andet halvår af 2021. Den højtstående repræsentant har arbejdet på at forbedre EU's evne til at forebygge, modvirke, hindre og reagere på ondsindede cyberaktiviteter, herunder ved at styrke det internationale samarbejde. Den 17. maj 2021 organiserede Tjenesten for EU's Optræden Udadtil (EU-Udenrigstjenesten) i samarbejde med det portugisiske formandskab og Den Europæiske Unions Institut for Sikkerhedsstudier (EUISS) en scenariebaseret drøftelse med EU's medlemsstater og internationale partnere for at forbedre den gensidige forståelse af de respektive diplomatiske tilgange til at forebygge, modvirke, hindre og reagere på ondsindede cyberaktiviteter og identificere muligheder for yderligere at styrke det internationale samarbejde med henblik herpå. For yderligere at styrke EU's cyberdiplomatiske værktøjskasse indsamler EU-Udenrigstjenesten erfaringer, og den kan revidere retningslinjerne for gennemførelsen af rammen for en fælles diplomatisk EU-reaktion på ondsindede cyberaktiviteter.

Som bebudet i EU's strategi for cybersikkerhed for det digitale årti lancerer Kommissionen en undersøgelse for at udvikle værktøjer til bevidstgørelse, der har til formål at forbedre EU-virksomheders beredskab og modstandsdygtighed over for cyberbaseret tyveri af intellektuel ejendom. Kommissionen intensiverede også håndhævelsesforanstaltningerne i forbindelse med direktiv 2013/40/EU om angreb på informationssystemer ved at indlede yderligere overtrædelsesprocedurer mod flere medlemsstater i juni 2021. Kommissionen vil overveje yderligere tiltag, hvis det er nødvendigt. Det vil også være afgørende at forbedre tilgængeligheden af cybersikkerhedsfærdigheder i EU's arbejdsstyrke. Kompetencecentret for cybersikkerhed vil levere nøgleaktioner i denne henseende med henblik på at forbedre viden og kapacitet og tilskynde til udvikling af tværfaglige færdigheder inden for cybersikkerhed.

II.3 Fremme af et globalt og åbent cyberspace

Trusselsbilledet forværres af geopolitiske spændinger over det globale og åbne internet og via teknologier i hele forsyningskæden. Begrænsninger af og på internettet samt stigningen i ondsindede cyberaktiviteter og aktiviteter, der påvirker sikkerheden og integriteten af informations- og kommunikationsteknologiprodukter og -tjenester, udgør en trussel mod et globalt og åbent cyberspace samt retsstatsprincippet, menneskerettighederne, den grundlæggende frihed og de demokratiske værdier. Den højtstående repræsentant arbejder derfor sammen med medlemsstaterne på at fremme ansvarlig statslig adfærd i cyberspace, navnlig ved at udarbejde et handlingsprogram for fremme af ansvarlig statslig adfærd på FN-plan sammen med de 53 andre medsponsorer på grundlag af henstillingen i konsensusrapporten af 12. marts 2021 fra FN's åbne arbejdsgruppe om udvikling inden for information og telekommunikation i forbindelse med international sikkerhed. EU arbejder på at styrke og udvide forbindelserne med tredjelande, internationale og regionale organisationer samt multiinteressentsamfundet gennem cyberdialoger som fastsat i strategien ved at oprette et EU-netværk for cyberdiplomati. Desuden er der ved at blive oprettet et europæisk råd for cyberkapacitetsopbygning, hvilket giver EU's institutioner, organer og agenturer mulighed for bedre at koordinere og samarbejde om EU's eksterne cyberkapacitetsopbygningsindsats.