DA Den Europæiske Unions Tidende CE 84/766

(2004/C 84 E/0862)

SKRIFTLIG FORESPØRGSEL E-0183/04

af Charlotte Cederschiöld (PPE-DE) til Kommissionen

(29. januar 2004)

Om: Netværks- og informationssikkerhed

Informationsteknologisk sikkerhed er fortsat et område, hvor Kommissionen og andre EU-myndigheder må sikre deres interne systemer. Er Kommissionen enig i, at det fælles kriterium sætter en international accepteret standard for bedømmelsen af informations- og kommunikationsteknologiske produkter, og såfremt dette er tilfældet, hvordan kan Det Europæiske Agentur for Net- og Informationssikkerhed anvende det fælles kriterium i forbindelse med anskaffelsen af egne produkter og i forbindelse med vejledning om anskaffelse til EU og medlemslandenes organer?

Samlet svar

afgivet på Kommissionens vegne af Erkki Liikanen

på skriftlige forespørgsler E-0181/04, E-0182/04 og E-0183/04

(10. marts 2004)

Med hensyn til standardisering på området net- og informationssikkerhed og navnlig de »fælles kriterier« har Kommissionen medvirket i hele udviklingsprocessen for de fælles kriterier, lige siden arbejdet på forgængeren ITSEC i 1991. Kommissionen har også arbejdet sammen med medlemsstaterne om formulering af aftalen om gensidig anerkendelse af standarden vedrørende de fælles kriterier, ISO/IEC 15408.

Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA), som det ærede medlem også nævner som et muligt redskab til at udbrede denne standard yderligere i Europa, vil indlede sine aktiviteter i løbet af de kommende måneder. Kommissionen er i øjeblikket ved at udfærdige et bidrag til arbejdsprogrammet for ENISA. I dette svar foreslår Kommissionen nogle opgaver for ENISA i forbindelse med standardisering, men der kan på nuværende tidspunkt ikke gives noget endeligt svar på, hvordan ENISA's kommende arbejdsprogram kommer til at se ud.

Set ud fra Kommissionens synsvinkel har brugen af anerkendte standarder for evaluering og certificering af IKT-produkter været et vigtigt element i politikken for net- og informationssikkerhed. Brugen af sådanne standarder i forbindelse med indkøbsprocedurer blev stimuleret gennem Rådets henstilling (95/144/EF) af 7. april 1995 (1). I Kommissionens meddelelse »Net- og informationssikkerhed: Forslag til en europæisk strategi« (2), fremhæves betydningen af sikkerhedscertificeing af produkter som en nøglefaktor for at øge brugernes tillid. I den henseende udgør de fælles kriterier en solid, internationalt anerkendt ramme for sikkerhedscertificering af produkter. Som sådan anvendes den i vidt omfang i indkøbsprocedurer.

Det har imidlertid vist sig vanskeligt (også i USA) at få handelssektoren (og især finanssektoren) til at interessere sig for og engagere sig i at indføre ISO/IEC 15408. Denne omstændighed blev fremhævet på den internationale konference om fælles kriterier, der blev afholdt i Stockholm i september 2003. For at rette op på situationen kunne ENISA f.eks. støtte indførelsen af en sådan standard ved at inddrage interesseparterne på netsikkerhedsområdet i drøftelser om spørgsmål, problemer og muligheder i forbindelse med brugen af fælles kriterier.

Hvad angår standardisering inden for net- og informationssikkerhed, er Kommissionen i færd med at vurdere konsekvenserne af den nylige fælles CEN-ETSI-rapport (3), der behandler standardiseringsspørgsmål vedrørende net- og informationssikkerhed, som er relevante for de europæiske standardiseringsorganisationer. På dette grundlag vil der blive udformet fremtidige tiltag og pollitiske initiativer.

På teknisk plan har Kommissionen prioriteret udvikling af sikre produkter og systemer højt under IST-programmet, og dette vil afgjort medvirke til en forbedret praksis inden for udvikling af IKT-podukter i Europa. ENISA kunne supplere dette arbejde ved at bistå medlemsstaterne med at udforme passende uddannelsesforløb vedrørende sikkerhed, udveksle erfaringer og samarbejde om oplysningskampagner, rettet især mod små og mellemstore virksomheder.

Da de fælles kriterier udgør en ramme for produktsikkerhed og -certificering, anser Kommissionen indførelse af en sådan standard i indkøbsprocedurer som god praksis i alle tilfælde, hvor der er behov for stringent og kontrollerbar sikkerhed. Hvis ENISA oplever et sådant behov, bør agenturet derfor henvise til de fælles kriterier, hvor det er relevant, når agenturet selv indkøber produkter, og når det yder rådgivning til Kommissionen og medlemsstaternes regeringer om brugen af fælles kriterier i offentlige indkøbs-procedurer. Kommissionen må dog holde sig for øje, at certificeret sikkerhed ikke er billigt.

Endelig er det vigtig at bemærke, at den tekniske standard ISO/IEC 15408 ikke er tilstrækkelig til at garantere et tilfredsstillende sikkerhedsniveau i en organisation. Enhver organisation eller virksomhed må også udvælge og følge en standard for sikkerhedsstyring (f.eks. ISO/IEC 17799) for at opbygge og styre de nødvendige sikkerhedsprocesser og -fremgangsmåder.

(1) EFT L 93 af 26.4.1995.

(2) KOM(2001) 298 endelig udg.

(3) ETSI SR 002 298.