DA    DA DA 
 
DA    DA  KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER 
Bruxelles, den 30.3.2009 
SEK(2009) 400 
  
ARBEJDSDOKUMENT FRA KOMMISSIONENS TJENESTEGRENE 
Ledsagedokument til 
   
MEDDELELSE FRA KOMMISSIONEN TIL RÅDET, EUROPA-PARLAMENTET, 
DET EUROPÆISKE ØKONOMISKE OG SOCIALE UDVALG OG 
REGIONSUDVALGET 
 
om beskyttelse af kritisk informationsinfrastruktur 
 "Beskyttelse mod storstilede cyberangreb og sammenbrud:  
øget beredskab, sikkerhed og robusthed"  
   
RESUMÉ AF KONSEKVENSANALYSEN 
 
{KOM(2009) 149} 
{SEK(2009) 399} 
 
DA 2   DA RESUMÉ AF KONSEKVENSANALYSEN  
1. HVAD ER PROBLEMET ? 
Ikt-sektoren er uundværlig for økonomien og samfundet i EU 
Informations- og kommunikationsteknologi (ikt) er blevet rygraden i EU's økonomi og i 
samfundet som helhed. Ikt-sektoren spiller en afgørende rolle i alle dele af samfundet.  
Virksomhederne er afhængige af ikt-sektoren , både hvad angår direkte salg, og når det 
gælder effektiviteten i de interne virksomhedsprocesser. Ikt får også stadig større betydning 
for regeringers og offentlige administrationers arbejde:  indførelsen af e-fo rvaltning på alle 
niveauer giver øget effektivitet i procedurerne, men gør samtidig den offentlige sektor stærkt afhængig af ikt i udførelsen af en lang række opgaver. Sidst men ikke mindst er borgerne i 
stigende grad afhængige af informatio nssamfundstjenester og ikt i deres hverdag : ud 
over de negative følger, som et sammenbrud i inte rnettet vil have for bor gernes aktiviteter, 
formidles flere og flere af deres personlige opl ysninger ad elektronisk vej. Utilstrækkelige 
sikkerhedsforanstaltninger kan me dføre tab af fortrolige personopl ysninger og skabe risiko for 
identitetstyveri eller andre tilfælde af bedrageri
1. Derfor er det også absolut afgørende, at 
ikt-infrastrukturen gøres m ere sikker og robust, så borgernes personoplysninger 
beskyttes, og retten til privatlivets fred kan håndhæves tilfredsstillende.  
Ikt-systemer og -tjenester er en uundværlig infr astruktur, både i sig selv og som grundlag for 
anden kritisk teknologi- og samfundsinfrastrukt ur. Dette anerkendte Europa-Kommissionen i 
sin grønbog om et europæisk program for besky ttelse af kritisk infrastr uktur, der definerede 
begrebet kritisk informationsinfrastruktur som alle  "ikt-systemer, der i sig selv udgør en 
kritisk infrastruktur, eller som er afgørende for, at anden kritisk in frastruktur kan fungere 
(telekommunikation, computere/software , internettet, satellitter mv.) "2, i tråd med OECD's 
holdning3.  
Der er forskel på, hvilken terminologi der anvendes, men hovedsagen er, at begrebet kritisk 
informationsinfrastruktur bidrager til et syst emisk perspektiv i politikkerne for sikkert 
og uafbrudt fungerende ikt-systemer, -tjenester og -net (i det følgende under ét benævnt 
"ikt-infrastruktur"), hvoraf internettet er en mege t vigtig komponent på grund af dets store 
udbredelse og sammensmeltningen af forskellige teknologier. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece 
2 KOM(2005) 576 endelig. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf . 
 
DA 3   DA Hvad står der på spil? 
Ikt-infrastrukturens store udbredelse inde bærer, at virkningerne af sammenbrud i 
infrastrukturen  føles i hele samfundet .  
De risici, der er forbundet med bevidste angreb, na turkatastrofer eller tekni ske fejl er ofte ikke 
fuldt afdækket og/eller analyseret. Resultatet er, at de berørte parter ikke er tilstrækkeligt 
bevidste om risiciene til at  udtænke tilstrækkelige sikke rheds- og modforholdsregler.  
Cyberangrebene er blevet mere raffinerede end nogensinde før og udføres ofte af 
enkeltpersoner eller kriminelle  grupper med økonomisk udbytte el ler politiske mål for øje. De 
seneste storstilede angreb på Estland, Lita uen og Georgien er ekse mpler på en generel 
tendens.  Det enorme antal virusser, orme og andre former for skadelig software, udbredelsen 
af botnet og stigningen  i mængden af spam bekræfter problemets alvor4. Ikt-infrastrukturen 
er konstant under angreb, og hvis Europa ikke opbygger et be redskab, bliver følgerne af 
angrebene endnu værre.  
Samfundets afhængighed af kritisk informations infrastruktur og informationsinfrastrukturens 
sammenhæng på tværs af grænserne og med anden infrastruktur gør, at det som første skridt 
i et forsvar mod svigt og angreb er nødvendi gt at drøfte spørgsmålet om sikkerhed og 
robusthed ud fra et systemisk perspektiv , ud over og som supplement til de konkrete 
foranstaltninger for at forebygge, bekæmpe og retsforfølge kriminalitet og terrorisme rettet 
mod kritisk infrastruktur.  
Problemets art 
I dag er ikt-infrastrukturens  sikkerhed og robusthed et emne, der først og fremmest 
behandles på nationalt plan, og koordine ringen på europæisk plan er begrænset . 
Manglen på systematisk tværnationalt sama rbejde gør de nationale forholdsregler 
væsentligt mindre virkningsfulde. Desuden kan et lavt sikkerhedsniveau i ét land 
potentielt øge sårbarheden og risiciene i andre lande .  
Eftersom den kritiske informations infrastruktur er verdensomspændende og nært 
sammenknyttet med andre former for infrastruktur, kan rent nationale og ukoordinerede 
strategier ikke opfylde målet om at sk abe en sikker og robust infrastruktur. Desuden er 
det alment opfattelsen, at markedskræfterne ikke giver tils trækkelige incitamenter til at 
investere i beskyttelse af kritisk informat ionsinfrastruktur i det omfang, som staten 
normalt ville kræve . 
De grundlæggende årsager til det generelle problem , der er skitseret ovenfor, er følgende: 
• Forskelle i medlemsstaternes politik ker for en sikker og robust kritisk 
informationsinfrastruktur . Medlemsstaternes strategier for at opnå sikkerhed og 
robusthed er forskellige. Des uden synes graden af ekspertise og beredskab ikke at være 
ensartet, fremgår det af en analyse af de  nationale strategier , som Kommissionen har 
foretaget, og dette bekræftes af en rapport fra Det Europæiske Agentur for Net- og 
Informationssikkerhed (ENISA)5. 
• Vanskelig udbredelse af nye fælle seuropæiske forvaltningsmodeller . At gøre ikt-
infrastrukturen mere sikker og robust er  en opgave, der byde r på helt særlige 
forvaltningsmæssige udfordringer.  Regeringerne er ansvarlige for at fastlægge 
politikken for kritisk informationsinfrastruktur,  men det er afgøre nde, at den private 
                                                 
4 KOM(2006) 688 endelig.  
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_taki ng_final_report_2008.pdf 
 
DA 4   DA sektor involveres i gennemførelsen . Som løsning på denne kombination af 
ansvarsområder er der vokset offentlig-private partnerskaber  frem på nationalt plan, der 
kan fungere som referencemodel. Men trods bred enighed om, at offentlig-private partnerskaber også ville være ønskelige på eu ropæisk plan, er der endnu ikke etableret 
sådanne europæiske partnerskaber.  
• Begrænset europæisk forvarslings- og reaktionsevne . Høringer har fremhævet 
forskellene mellem de nationale forvarslings - og reaktionssystemer. Nogle medlemsstater 
modtager ikke rutinemæssigt  rapporter om sikkerhedshændelser (omend der muligvis 
uformelt udveksles rapporter mellem visse opera tører) og/eller har ikke etableret nogen 
central indberetningsinstans. Samarb ejdet og informationsudvekslingen mellem instanser 
på regeringsniveau  synes ikke tilstrækkeligt udbygget  og hæmmes af mangelen på 
udvekslings- og koordineringsordninger, som pa rterne har tillid til. Dermed er det 
nødvendigt, at alle landsdækkende/statslige it-beredskabsenheder (CERT - Computer 
Emergency Response Team), fungerer godt, dvs. har en fælles basiskapacitet.  Desuden 
spiller beredskabsøvelser og praktiske simuleringer en nøglerolle i indsatsen for at øge 
sikkerheden og robustheden, men på EU-p lan befinder disse tiltag sig stadig på 
begynderstadiet . 
• Ringe grad af bevidsthed om truslerne mod internettets sikkerhed og robusthed . 
Internettet har hidtil vi st sig at være en ret robust infrastruktur  takket være sin 
distribuerede og redundante opbygning. I  betragtning af internettets enorme vækst, dets 
stigende  kompleksitet og dets væld af nye tjenester  er det imidlertid rimeligt at stille 
spørgsmålstegn ved, om det fortsat kan modstå det stigende antal cyberangreb og andre 
sikkerhedshændelser . 
Intet land er isoleret i verden. Ikt-infrastrukturens og særlig internettets globale karakter 
kræver en fælles strategi for sikkerhed og robusthed. En stærk EU-koordinering kan få 
direkte virkning på internationalt plan.   
2. H
VAD ER BEGRUNDELSEN FOR AT HANDLE PÅ EU- PLAN ? 
En rent nationalt orienteret tilgang til de problem er, der er skitseret ovenfor, risikerer at 
være utilstrækkelig. Som følge af infrastrukturens samm enhæng på tværs af grænserne kan 
mange trusler mod net- og informationssikkerh eden medføre negative grænseoverskridende 
sidevirkninger, der ikke kan håndteres effektivt på nationa lt plan, og som kan forårsage 
sammenbrud i andre lande.  
En integreret EU-dækkende indsats for at gøre ikt-infrastrukturen mere sikker og 
robust vil kunne supplere de nationale pr ogrammer for besky ttelse af kritisk 
informationsinfrastruktur og de eksisterende samarbejds ordninger mellem medlemsstaterne 
og øge værdien  af disse. Eftersom mange udfordringer og problemer er fælles, vil alle have 
fordel af en fælles strategi. 
Drøftelserne efter angrebet i Estland tyder på, at konsekvenserne af  lignende angreb kan 
begrænses ved hjælp af forebyggende foranstaltninger  – f.eks. en mere struktureret 
informationsudveksling på europæisk plan – og ge nnem en koordineret inds ats i løbet af selve 
krisen. Kommissionen er ideelt placeret til at koordinere en sådan indsats i tæt samarbejde med medlemsstaterne og andre internationale organisationer samt unde r nøje overholdelse af 
nærhedsprincippet . 
Selv om nationale sikkerhedsbetragtninger spiller en vigtig rolle i fastlæggelsen af politikker 
og forpligtelser vedrørende net- og informationssikkerhed, kan de også føre til opsplitning på 
 
DA 5   DA lovgivningsområdet og påvirke EU's konkurrencee vne som helhed og det europæiske indre 
markeds muligheder for at skabe velfærd. 
I 2006 bekendtgjorde Kommissionen6, at den som led i programmet  for beskyttelse af kritisk 
infrastruktur7 (EPCIP) agtede at udvikle en sekt orspecifik politik for ikt-sektoren "med 
henblik på at øge sikkerheden og net- og in formationssystemernes modstandsdygtighed".  
Denne hensigtserklæring blev positivt modtaget af Det Europæiske Råd i 20078. 
Dette initiativ vil tage passende hensyn til den internationale dimension og bygge på 
anerkendte principper som G8-principperne om beskyttelse af kritisk informationsinfrastruktur, FN's gene ralforsamlings resolution 58/199 om en 
verdensomspændende internetsikkerheds¬ kultur og beskyttelse af kritisk 
informationsinfrastruktur samt den nylige OECD-anbefaling om beskyttelse af kritisk informationsinfrastruktur. 
Sidst, men ikke mindst, tager det foreslåede politiske initiativ NATO's tiltag på området 
internetsikkerhed i betragtning og undgår at duplikere dem. Disse  tiltag lægger især vægt på 
militært forsvar gennem den fælles politik for forsvar mod cyberangreb og de aktiviteter, der gennemføres af Cyber Defence Management Au thority (CDMA), såvel som resultaterne fra 
NATO's Cooperative Cyber Defence Ce ntre of Excellence (CCD-COE).  
3. H
VAD ER FORMÅLET ?  
Formålet med dette initiativ er at styrke beredskabet i hele Europa  over for de beskrevne 
risici og trusler og undgå en opsplittet indsats i medlemsstaterne. Der vil navnlig blive lagt 
vægt på at fastlægge fælles procedurer, der gør det muligt at håndtere kendte og ukendte 
trusler på en fleksibel måde. Relevante offen tlige og private parter vil blive inddraget i at 
sikre, at der indføres tilstrækkelige og sammenhængende  forebyggelses-, opdagelses-, 
katastrofe- og genopretningsforanstaltninger, der kan garantere et tilfredsstillende niveau 
af sikkerhed og robusthed i ikt-infras trukturen samt kontinuitet i tjenesterne . Den 
forbedrede sikkerhed og robusthed vil også øge beskyttelsen af EU-borgernes 
personoplysninger og privatlivets fred . 
Det overordnede mål for denne foranstaltning, nemlig at skabe en sikker og robust ikt-
infrastruktur som front i forsvaret mod cyberangreb, kan nås gennem fire specifikke mål: 
1) at udjævne forskellene mellem de nationa le politikker for en sikker og robust kritisk 
informationsinfrastruktur 
2) at styrke en europæisk forvaltnings model for sikkerhed og robusthed i kritisk 
informationsinfrastruktur 
3) at styrke Europas beredskabskapacitet 4) at gøre internettet mere sikkert og robust. 
4. H
VILKE POLITISKE LØSNINGSMULIGHEDER ER DER ? 
Mulighed 1 : Ingen yderligere tiltag  
                                                 
6 KOM(2006) 251. 
7 KOM(2006) 786. 
8 Rådets resolution 2007/C 68/01. 
 
DA 6   DA At undlade at iværksætte yd erligere foranstaltninger er  ikke en holdbar løsning . Uden 
tværgående tiltag på EU-plan vil medlemsstaterne  fortsætte med at handle hver for sig eller på 
et bilateralt elle r begrænset multilateralt grundlag. Dette in debærer risiko for, at der udvikler 
sig forskellige nationale strategier, der er uforenelige. Desuden vil samarbejdet på tværs af 
grænserne foregå på et ad hoc-grundlag og vil muligvis ikke være effektivt nok til at hamle op 
med stadig mere raffinerede og omfattende cyberangreb. 
Da medlemsstaterne vil fortsætte med at grib e problemerne an i forskelligt tempo, vil de 
berørte parter måske undlade at investere i sikkerhed og robusthed, eftersom de mange 
forskellige standarder og forpligtelser vi l nedsætte deres konkurrenceevne. Problemets 
grænseoverskridende karakter vil yderligere fremhæve forskellene i sikkerhed, robusthed og 
beredskab i Europa. Ikt-infrastrukturen i Europa  vil fortsat være meget sårbar, og sårbarheden 
vil endda muligvis øges på trods af  de enkelte medlemsstaters tiltag.  
Mulighed 2: Ikke-bindende rammer  
I dette scenarie vil Kommissionen tilvejebringe rammerne for koordinering og 
samarbejde  i form af en meddelelse og en handli ngsplan, der engagerer medlemsstaterne, 
den private sektor og civilsamfundet. Rådet kunne  støtte meddelelsen, og Europa-Parlamentet 
kunne også bidrage til drøftelserne. 
Initiativet vil være koncentreret om de mål, de r er fremhævet ovenfor, og navnlig gå ud på at: 
1) skabe bedre sammenhæng mellem de na tionale politikker for sikkerhed og 
robusthed  i kritisk informationsinfrastruktur ved at: 
• udpege overførbare eksempler på forvaltningspolitisk praksis og fælles elementer 
• etablere et europæisk forum, hvor medl emsstaterne kan udveksle oplysninger og 
god praksis vedrørende sikkerhed og  robusthed i ikt-infrastrukturen. 
2) styrke en europæisk forvaltnings model for sikkerhed og robusthed  i kritisk 
informationsinfrastruktur ved at: 
• skabe et europæisk offentlig-privat partn erskab for en robust infrastruktur  
(E3PR), der skal fremme samarbejdet mellem den offentlige og den private sektor 
om målene for sikkerhed og robusthed, basiskrav, god strategisk praksis og foranstaltninger.  
3) styrke Europas beredskabskapacitet  ved at: 
• etablere velfungerende landsdækkende/s tatslige it-beredskabsenheder (CERT
9) 
som nøglekomponent i det nationale beredskab og i informationsudveksling, koordinering og reaktion på sikkerhedshændelser 
• vedtage et minimumsniveau af kapacitet og tjenester for de 
landsdækkende/statslige it-beredskabsenheder  
• fremme samarbejde mellem de landsdækkende /statslige it-beredskabsenheder på 
europæisk plan; lette kontakte n og samarbejdet mellem de 
landsdækkende/statslige it-krisereaktionsenhe der; tilrettelægge fælleseuropæiske 
og/eller regionale øvelser med simulerede sikkerhedskriser 
• fremme planlægningen af, hvordan der skal reageres på netsikkerhedshændelser, 
og hvordan sikkerheden genoprettes 
                                                
 
9 Computer Emergency Response Teams. 
 
DA 7   DA • finansiere udformningen af europæiske øvelser med simulerede sikkerhedskriser 
• støtte udviklingen og indførelsen af et europæisk informationsudvekslings- og 
varslingssystem (EISAS), der når ud til borgerne og de små og mellemstore virksomheder.  
4) gøre internettet me re sikkert og robust  ved at:  
• fastlægge EU's vigtigste mål vedrørende  langsigtet robusthed og stabilitet i 
internettet 
• vedtage et sæt europæiske og senere et sæ t internationale principper for et sikkert 
og robust internet.  
Mulighed 3: bindende rammer 
I dette scenarie vil de fleste  af ovennævnte problemer blive grebet an ved hjælp af bindende 
foranstaltninger i form af et direktiv, en fo rordning eller en beslutning, alt efter hvad der er 
mest passende. 
Kommissionen kunne foreslå bindende forans taltninger, der ha r til formål at: 
1) fastlægge basiskrav, der fører  til en harmonisering af  de nationale politikker . 
Sådanne foranstaltninger kunne være rettet  mod at skabe yderligere sikkerhed og 
robusthed ud over, hvad den markedsl ovgivning, der allerede  er foreslået, 
tilvejebringer. 
2) fastlægge de offentlige  og private aktørers ro lle og ansvarsområder i forbindelse 
med sikkerheden og robustheden i kr itisk informationsinfrastruktur 
3) forbedre det praktiske beredskab , f.eks. via: 
a) et minimumssæt af standarder for de landsdækkende/statslige it-
beredskabsenheders f unktioner og tjenester 
b) en ramme for national katastrofeplan lægning med henblik på  udvikling af EU-
dækkende katastrofeplaner. 
5. H
VILKEN LØSNINGSMULIGHED ER DEN BEDSTE ? 
Løsningsmuligheden "ingen yderligere tiltag" frembyder ikke nogen klar styrke , når det 
gælder om at forbedre sikkerheden og robusth eden i kritisk informationsinfrastruktur i 
Europa. Valget står derfor mellem ikke-b indende og bindende rammer. På nuværende 
tidspunkt forekommer det ikke realistisk at indfør e bindende rammer blandt andet af følgende 
årsager:  
• den politiske realitet med suveræne stater, som enhver net- og 
informationssikkerhedspolitik må tage behørigt hensyn til  
• det meget spredte fordeling af driftsansvaret  i den private sektor , der må tages med i 
betragtning  
• den manglende erfaring i informationsudveksli ng og samarbejde om politikken for kritisk 
informationsinfrastruktur mellem den offentlige og den private sektor. 
Desuden hæmmer den ringe kvalitet af de foreliggende oplysninger om 
sikkerhedshændelser, der skyldes informati onsasymmetri og nationale sikkerhedshensyn, 
muligheden for at fastlægge lovforanstaltn inger ud fra en sammenhængende økonomisk og 
forvaltningspolitisk synsvinkel. Endvide re gør mangelen på oplysninger det vanskeligt at 
 
DA 8   DA overholde proportionalitetsprincippet , da det er umuligt at foreslå forholdsmæssigt 
afpassede tiltag, når man ikke har nogen or dentlig indsigt i problemets nøjagtige omfang. 
Endelig vil det tage lang tid at få vedtaget  bindende foranstaltninger, og dermed opfylder 
denne løsningsmulighed ikke behovet for,  at alle parter handler hurtigt. 
Konklusionen af denne konsekvensanalyse er derfor , at mulighed 2 er at foretrække på kort og 
mellemlang sigt. Ifølge dette scenarie iværks ættes de foreslåede tiltag øjeblikkeligt, og 
resultaterne tages efterfølgende  op til vurdering, herunder resultate rne af den offentlige debat 
om en styrket og moderniseret politik for ne t- og informationssikkerhed i EU. På denne 
baggrund vil der blive foretaget en vurdering af behovene og mulighederne for eventuelle 
bindende foranstaltninger i fremtiden. 
Til den tid vil der så muligvis kunne anbefales foranstaltninger svarende til tiltagene under 
mulighed 3.