ARBEJDSDOKUMENT FRA KOMMISSIONENS TJENESTEGRENE

RESUMÉ AF KONSEKVENSANALYSEN

Ledsagedokument

Forslag til Europa-Parlamentets og Rådets direktiv

om foranstaltninger, der skal sikre et højt fælles niveau for net- og informationssikkerhed i hele Unionen

1. Anvendelsesområde

Denne konsekvensanalyse omfatter løsningsmodeller, der kan forbedre sikkerheden på internettet og andre net og informationssystemer, der danner grundlag for tjenester, som underbygger samfundsfunktioner (f.eks. offentlige administrationer, finans- og banksektoren, energi, transport, sundhed og visse internettjenester, der muliggør centrale økonomiske og samfundsmæssige processer såsom e-handelsplatforme og sociale netværk). Dette omtales som net- og informationssikkerhed.

2. Baggrund

Net- og informationssikkerhedens stigende betydning for de europæiske økonomier og samfund blev anerkendt for første gang af Kommissionen i 2001. For at sikre et højt og effektivt net- og informationssikkerhedsniveau i EU besluttede Det Europæiske Fællesskab i 2004 at oprette Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA). Den strategi, EU hidtil har anvendt inden for net- og informationssikkerhed, har hovedsageligt gået ud på at vedtage en række handlingsplaner og strategier, der opfordrer medlemsstaterne til at øge deres net- og informationssikkerhedskapacitet og til at samarbejde for at imødegå grænseoverskridende net- og informationssikkerhedsproblemer.

Interessenterne er blevet hørt vedrørende initiativets forskellige aspekter (problemdefinition og løsningsmodeller til afhjælpning af de eksisterende mangler) ved hjælp af:

· En offentlig onlinehøring om forbedring af net- og informationssikkerheden i EU, som blev gennemført fra den 23. juli til den 15. oktober 2012. Der blev afgivet i alt 169 svar online, og Kommissionen modtog yderligere 10 skriftlige svar.

· Drøftelser med medlemsstaterne inden for rammerne af det europæiske forum for medlemsstater (EFMS), på bilaterale møder og på EU-konferencen om cybersikkerhed afholdt af Kommissionen og EU-Udenrigstjenesten den 6. juli 2012.

· Drøftelser med virksomheder og organisationer i den private sektor inden for rammerne af det europæiske offentlig-private partnerskab for en robust infrastruktur (EP3R) og på bilaterale møder.

· Drøftelser med ENISA og CERT-EU.

· Drøftelser inden for rammerne af forsamlingen for den digitale dagsorden 2012.

3. Problemstilling

3.1. Definition af problemet

Problemet kan beskrives som en generel utilstrækkelig beskyttelse mod net- og informationssikkerhedsrelaterede hændelser, risici og trusler i EU, som gør det sværere at opnå et velfungerende indre marked.

Da net og informationssystemer er indbyrdes forbundne og i betragtning af internettets globale karakter, går mange net- og informationssikkerhedsrelaterede hændelser på tværs af nationale grænser og gør det sværere at opnå et velfungerende indre marked.

Grænseoverskridende tjenester kan blive utilgængelige, indstillet eller afbrudt på grund af brud på sikkerheden ligesom ved angrebene på eBay og PayPal. Behovet for at handle hurtigt for at løse problemer og udveksle oplysninger om en væsentlig hændelse blev understreget i forbindelse med angrebene på Diginotar, den hollandske internetcertifikatvirksomhed. I kølvandet på tidligere hændelser begynder medlemsstaterne at indføre deres egne bestemmelser. Ukoordinerede lovindgreb kan føre til opsplitning og skabe hindringer for det indre marked og dermed resultere i efterlevelsesomkostninger for virksomheder, som opererer i mere end en medlemsstat.

Dette problem berører alle dele af samfundet og økonomien (myndigheder, virksomheder og forbrugere). En række sektorer spiller navnlig en væsentlig rolle med hensyn til at levere centrale støttetjenester til økonomien og samfundet, og deres systemers sikkerhed er særlig vigtig med henblik på at opnå et velfungerende indre marked. Disse sektorer omfatter banker, børser, produktion, transmission og distribution af energi, transport (luft-, jernbane- og søtransport), sundhed, formidlere af centrale internettjenester og offentlige administrationer. Den offentlige høring viste en stærk støtte fra interessenterne til at gøre noget ved net- og informationssikkerheden i disse sektorer og til at træffe foranstaltninger på EU-plan i overensstemmelse hermed.

Hvis der ikke træffes yderligere foranstaltninger med henblik på at imødegå det stigende antal hændelser, kan forbrugernes tillid til onlinetjenester lide skade, og dette kan hindre gennemførelsen af målene med den digitale dagsorden.

3.2. Årsagerne til problemet

Det definerede problem skyldes en række faktorer.

For det første er der et uensartet kapacitetsniveau på nationalt niveau i hele EU, som forhindrer, at der skabes tillid mellem fagfæller, hvilket er en forudsætning for samarbejde og informationsudveksling.

For det andet er informationsudvekslingen om hændelser, risici og trusler utilstrækkelig. De fleste net- og informationssikkerhedsrelaterede hændelser bliver ikke indberettet og går upåagtet hen hovedsageligt på grund af virksomhedernes uvilje mod at dele denne information af frygt for at skade deres omdømme eller pådrage sig erstatningsansvar. Informationsudvekslingen inden for de eksisterende offentlig-private partnerskaber og platforme såsom EFMS og EP3R er begrænset til bedste praksis.

4. De nuværende foranstaltningers effektivitet

4.1. Huller i de gældende rammebestemmelser

I henhold til de gældende regler behøver virksomheder, bortset fra telekommunikationsvirksomheder, ikke at træffe risikostyringsforanstaltninger vedrørende net- og informationssikkerhed og indberette net- og informationssikkerhedsrelaterede hændelser. Alle aktører, der anvender net- og informationssystemer, udsættes imidlertid for sikkerhedsrisici. Dette resulterer i ulige vilkår, da den samme hændelse, som f.eks. berører en telekommunikationsudbyder og en virksomhed, der leverer internettelefoni, skal indberettes til den nationale kompetente myndighed i det førstnævnte tilfælde, men ikke i det sidstnævnte tilfælde.

Alle aktører, som er registeransvarlige (f.eks. en bank eller et hospital), har i henhold til bestemmelserne om databeskyttelse pligt til at indføre sikkerhedsforanstaltninger, der står i forhold til de risici, de står overfor. Men de registeransvarlige skal kun indberette de brud på sikkerheden, som bringer personoplysninger i fare.

Rådets direktiv 2008/114/EF om indkredsning og udpegning af europæisk kritisk infrastruktur omfatter kun energi- og transportsektoren, og indtil videre har medlemsstaterne kun identificeret få infrastrukturer som europæiske kritiske infrastrukturer. Direktivet pålægger ikke operatørerne pligt til at indberette væsentlige brud på sikkerheden og indfører ikke ordninger, som medlemsstaterne kan anvende til at samarbejde og reagere på hændelser.

Medlovgiverne drøfter for tiden Kommissionens forslag til direktiv om angreb på informationssystemer[1]. Dette forslag omfatter udelukkende kriminalisering af bestemte former for adfærd, men behandler ikke forebyggelsen af net- og informationssikkerhedsrelaterede risici og hændelser, reaktionen på net- og informationssikkerhedsrelaterede hændelser og afbødningen af deres virkning.

4.2. Grænserne for en frivillig tilgang

Den hidtidige frivillige tilgang har medført et uensartet beredskabsniveau og begrænset samarbejde.

EFMS har et begrænset ansvarsområde, da medlemsstaterne ikke udveksler oplysninger om hændelser, risici og trusler og heller ikke samarbejder med henblik på at imødegå grænseoverskridende trusler. EFMS har ikke beføjelser til at kræve, at dets medlemmer skal have indført en minimumkapacitet.

ENISA har ingen operationelle beføjelser og kan f.eks. ikke gribe ind for at løse net- og informationssikkerhedsrelaterede problemer.

EP3R har ingen formel status og kan ikke forlange, at den private sektor skal indberette hændelser til de nationale myndigheder. Der findes ikke en ramme for sikker informationsudveksling og videregivelse af net- og informationssikkerhedsrelaterede trusler, risici og hændelser i EP3R.

5. Behov for EU-intervention, subsidiaritet og proportionalitet

Det er vigtigt at sikre net- og informationssikkerheden for at opnå et velfungerende indre marked og af hensyn til samfundsvelfærden. Artikel 114 i TEUF er et passende retsgrundlag for harmonisering af kravene til net- og informationssikkerheden og indførelse af et fælles minimumsikkerhedsniveau i hele EU.

EU-intervention på net- og informationssikkerhedsområdet er berettiget ud fra subsidiaritetsprincippet på grund af problemets grænseoverskridende karakter og den øgede effektivitet (og dermed merværdi) for de eksisterende nationale politikker, som ville være et resultat af handling på EU-plan.

For at sikre et samarbejde, der omfatter alle medlemsstater, er det nødvendigt at sørge for, at de alle har den påkrævede minimumkapacitet. Endvidere er det klart, at en samordnet og samarbejdsorienteret net- og informationssikkerhedspolitik kan styrke en reel beskyttelse af de grundlæggende rettigheder, især retten til beskyttelse af personoplysninger og privatlivets fred.

Foranstaltningerne i den foretrukne løsningsmodel er berettigede ud fra proportionalitetsprincippet, da kravene til medlemsstaterne er fastlagt på det minimumniveau, der er nødvendigt for at opnå et tilstrækkeligt beredskab og give mulighed for samarbejde baseret på tillid, og kravene til virksomhederne og de offentlige myndigheder om at gennemføre risikostyring og indberette hændelser kun er rettet mod kritiske enheder og pålægge foranstaltninger, der står i rimeligt forhold til risiciene og vedrører hændelser med en væsentlig indvirkning. Endvidere vil foranstaltningerne i den foretrukne løsningsmodel ikke medføre uforholdsmæssigt store omkostninger.

6. Mål

Det generelle mål er at øge beskyttelsen mod net- og informationssikkerhedsrelaterede hændelser, risici og trusler i hele EU. De specifikke mål er:

· Mål 1 - At indføre et fælles minimalt net- og informationssikkerhedsniveau i medlemsstaterne og dermed øge det samlede beredskabs- og reaktionsniveau.

· Mål 2 - At forstærke samarbejdet om net- og informationssikkerhed på EU-plan med henblik på en effektiv imødegåelse af grænseoverskridende hændelser og trusler.

· Mål 3 - At skabe en risikostyringskultur og øge informationsudvekslingen mellem den private og offentlige sektor.

7. Løsningsmodeller

Følgende løsningsmodeller er taget i betragtning i denne konsekvensanalyse: status quo, en reguleringstilgang og en blandet tilgang. Den løsningsmodel, der består i at standse alle EU-aktiviteter vedrørende net- og informationssikkerhed, er blevet kasseret.

7.1. Løsningsmodel 1 – Status quo (”referencescenario”)

Kommissionen vil med bistand fra ENISA videreføre den nuværende frivillige tilgang, som opfordrer medlemsstaterne til at oprette net- og informationssikkerhedskapacitet på nationalt plan (f.eks. it-udrykningshold, nationale planer for cyberhændelser/beredskabsplaner og nationale cybersikkerhedsstrategier) og til at samarbejde på EU-plan (f.eks. gennem et netværk af it-udrykningshold i hele Europa og en europæisk beredskabs- og samarbejdsplan for cyberhændelser).

7.2. Løsningsmodel 2 – Reguleringstilgang

Kommissionen vil forlange, at medlemsstaterne skal oprette mindst et nationalt minimumkapacitetsniveau (it-udrykningshold, kompetente myndigheder, nationale planer for cyberhændelser/beredskabsplaner og nationale cybersikkerhedsstrategier).

Med denne reguleringsløsningsmodel vil de nationale kompetente myndigheder og it-udrykningshold være en del af et samarbejdsnetværk på EU-plan. Inden for netværket udveksler myndighederne og it-udrykningsholdene oplysninger og samarbejder for at imødegå net- og informationssikkerhedsrelaterede trusler og hændelser i overensstemmelse med den europæiske beredskabs- og samarbejdsplan for cyberhændelser, som medlemsstaterne skal blive enige om.

Virksomheder (bortset fra mikrovirksomheder) i særligt kritiske sektorer, f.eks. banker, energi (elektricitet og naturgas), transport, sundhed, udbydere af centrale internettjenester og offentlige administrationer vil blive pålagt at vurdere de risici, de står overfor, og træffe passende og forholdsmæssige foranstaltninger med henblik på at dimensionere de faktiske risici. Endvidere skal disse enheder til de kompetente myndigheder indberette hændelser, som i høj grad sætter driften af deres net og informationssystemer på spil og dermed har en væsentlig indvirkning på kontinuiteten i tjenesterne og leveringen af varer, som er baseret på net og informationssystemer. Denne ordning følger ordningen i artikel 13a og b i rammedirektivet om elektronisk kommunikation.

7.3. Løsningsmodel 3 – Blandet tilgang

Kommissionen vil kombinere frivillige initiativer baseret på medlemsstaternes velvilje, som har til formål at oprette eller styrke medlemsstaternes net- og informationssikkerhedskapacitet, og indføre ordninger for samarbejde på EU-plan med lovfæstede krav til centrale private aktører og offentlige administrationer.

De frivillige initiativer vil i det væsentlige svare til dem, der iværksættes i løsningsmodel 1, mens de lovfæstede krav vil svare til dem, der pålægges i løsningsmodel 2, både hvad angår de enheder, de vedrører, og forpligtelsernes art.

ENISA vil yde støtte og teknisk ekspertise til Kommissionen, medlemsstaterne og den private sektor, f.eks. ved at udarbejde tekniske retningslinjer og henstillinger.

8. Analyse af virkningerne

Konsekvensanalysen omfatter ud over sikkerhedsniveauet virkningerne af de tre løsningsmodellers økonomiske og sociale virkninger. Den omfatter også de omkostninger, der skal afholdes i løsningsmodel 2 og 3.

Ingen af løsningsmodellerne får miljøvirkninger, som kan forudsiges med sikkerhed.

8.1. Løsningsmodel 1 – Status quo (”referencescenario”)

Sikkerhedsniveau: Det er usandsynligt, at alle medlemsstater vil nå de sammenlignelige nationale kapacitets- og beredskabsniveauer, som er nødvendige for at forbedre sikkerheden og muliggøre et samarbejde samt udveksle sikre oplysninger på EU-plan. Der opnås ikke lige vilkår for risikostyring og øget gennemsigtighed for hændelser, og der vil derfor fortsat være huller i lovgivningen.

Økonomiske virkninger: Virkningen vil afhænge af, i hvilket omfang medlemsstaterne følger Kommissionens henstillinger. Det utilstrækkelige sikkerhedsniveau i de mindre udviklede medlemsstater vil svække deres konkurrenceevne og vækst og udsætte dem for risici og hændelser. I betragtning af de nuværende tendenser vil net- og informationssikkerhedsrelaterede hændelser blive mere og mere synlige for virksomhederne og forbrugerne og være til hinder for gennemførelsen af det indre marked.

Sociale virkninger: Fortsættelsen og den forventede forværring af hændelser, risici og trusler vil påvirke forbrugernes tillid til onlinetjenester i negativ retning.

8.2. Løsningsmodel 2 – Reguleringstilgang

Sikkerhedsniveau: De forpligtelser, der pålægges medlemsstaterne, vil sikre, at de alle er tilstrækkeligt rustet, og de vil bidrage til at opbygge gensidig tillid, som er en forudsætning for et effektivt samarbejde på EU-plan.

Indførelsen af krav til offentlige administrationer og centrale private aktører om at gennemføre risikostyring vedrørende net- og informationssikkerhed vil være et stærkt incitament til at forvalte og dimensionere sikkerhedsrisici effektivt. De samlede yderligere omkostninger, som skal afholdes i de forskellige sektorer i EU for at opfylde disse krav, vil beløbe sig til 1-2 mia. EUR. Efterlevelsesomkostningerne for de enkelte små og mellemstore virksomheder vil beløbe sig til mellem 2500 og 5000 EUR.

Økonomiske virkninger: Som følge af det øgede sikkerhedsniveau bliver de økonomiske tab i forbindelse med net- og informationssikkerhedsrelaterede risici og hændelser reduceret. Virksomhederne og forbrugerne får større tillid til den digitale verden, og dette vil gavne det indre marked. Fremme af en risikostyringskultur vil også stimulere efterspørgslen efter sikre ikt-produkter og -løsninger.

Sociale virkninger: Et højere sikkerhedsniveau vil give borgerne større tillid til onlinetjenester, og de vil kunne udnytte fordelene ved den digitale verden fuldt ud (f.eks. de sociale medier, e-læring og e-sundhed).

8.3. Løsningsmodel 3 – Blandet tilgang

Sikkerhedsniveau: Ligesom i løsningsmodel 1 er der ingen garanti for, at sikkerhedsniveauet på grundlag af den nationale net- og informationssikkerhedskapacitet og samarbejdet på EU-plan bliver forbedret som følge af frivillige initiativer. På den anden side vil indførelsen af sikkerhedskrav til offentlige administrationer og centrale private aktører være et stærkt incitament til at forvalte og dimensionere sikkerhedsrisiciene. Disse mekanismer vil imidlertid ikke være effektive i de medlemsstater, som ikke følger Kommissionens henstillinger om oprettelsen af net- og informationssikkerhedskapacitet.

Økonomiske virkninger: Udviklingstempoet vil være meget forskelligt i de enkelte medlemsstater. Det utilstrækkelige sikkerhedsniveau i de mindre udviklede medlemsstater vil svække deres konkurrenceevne og vækst og udsætte dem for den negative virkning af risici og hændelser.

Sociale virkninger: Fortsættelsen og den forventede forværring af hændelser, risici og trusler vil påvirke tilliden til onlinetjenester i negativ retning, særlig i de medlemsstater, der ikke betragter net- og informationssikkerheden som en prioritet.

9. Sammenligning af løsningsmodellerne

Løsningsmodel 1 og 3 er ikke en mulighed med hensyn til at nå politikmålene og anbefales derfor ikke, da deres effektivitet vil afhænge af, om den frivillige tilgang rent faktisk skaber et fælles minimalt net- og informationssikkerhedsniveau, og vedrørende løsningsmodel 3 afhænger det af medlemsstaternes vilje til at oprette kapacitet og samarbejde på tværs af grænserne.

Løsningsmodel 2 er den foretrukne løsning, da beskyttelsen af forbrugerne, virksomhederne og myndighederne i EU mod net- og informationssikkerhedsrelaterede hændelser, trusler og risici med denne løsningsmodel vil blive væsentligt forbedret. Endvidere vil EU, når det har orden i sine egne sager, kunne udvide sin internationale rækkevidde og blive en endnu mere troværdig partner med hensyn til samarbejde på bilateralt og multilateralt plan. EU vil også dermed være bedre i stand til at fremme grundlæggende rettigheder og EU-kerneværdier i udlandet.

10. Overvågning og evaluering

Kapitel 10 i konsekvensanalysen skitserer en række centrale indikatorer for fremskridtene hen imod gennemførelse af målene. Disse indikatorer omfatter f.eks.:

· for mål 1, antallet af medlemsstater, der har udpeget en myndighed, som er ansvarlig for net- og informationssikkerhed og et it-udrykningshold, eller som har indført en national internetsikkerhedsstrategi og en national beredskabs- og samarbejdsplan for cyberhændelser

· for mål 2, antallet af kompetente myndigheder og it-udrykningshold i medlemsstaterne, der deltager i netværket, og den mængde oplysninger, der udveksles i netværket om net- og informationssikkerhedsrelaterede risici og hændelser for mål 3, centrale private aktørers og offentlige administrationers investeringsniveau i net- og informationssikkerhed og antallet af indberetninger af net- og informationssikkerhedsrelaterede hændelser med en væsentlig virkning.

[1] COM(2010)0517, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2010:0517:FIN:DA:PDF.