ÜHISTEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE

Aruanne selle kohta, kuidas on rakendatud ELi küberturvalisuse strateegiat digikümnendi jaoks

I.Kübervastupidavusvõime, tegevussuutlikkus ja avatus on olulisemad kui kunagi varem

Küberturvalisus on pandeemiajärgses maailmas arukama ja keskkonnahoidlikuma tehnoloogia kasutuselevõtu jaoks hädavajalik. See on hädavajalik ELi julgeoleku jaoks ja sellele toetub julgeolekuliit. Sotsiaalse, poliitilise ja majandusliku arengu jaoks on vaja tehnoloogilist suveräänsust ning globaalset, avatud ja turvalist küberruumi, mis põhineb õigusriigi põhimõttel ning inimõiguste ja põhivabaduste austamisel. Just selline oli komisjoni ning liidu välisasjade ja julgeolekupoliitika kõrge esindaja 16. detsembri 2020. aasta ühisteatise „ELi küberturvalisuse strateegia digikümnendi jaoks“ peamine eeldus. Kõik kriitilise tähtsusega üksused võivad langeda küberründe ohvriks. Viimase kuue kuu jooksul toimunu on näidanud, kui õige oli strateegias keskenduda õiguslikele reformidele, investeeringutele ja kollektiivsele operatiivreageerimisele.

Hiljutised küberründed on näidanud eeskätt seda, et lunavara ja küberspionaaž levivad üha laialdasemalt ning neist tulenevad ohud kasvavad kõigis majandussektorites ja ühiskonnas tervikuna. Intsidentide ulatus on olnud erakordne: Microsoft Exchange’i vastu suunatud ründed mõjutasid sadu tuhandeid servereid; SolarWindsi tarkvaraga „Orion“ toimunu võis mõjutada 18 000 organisatsiooni; Iirimaa tervishoiuteenuste vastu suunatud lunavararünde tulemusena varastati sadade patsientide tundlikud andmed ja katkesid meditsiiniteenused; küberrünne ettevõtte Colonial Pipeline arveldussüsteemi vastu tõi kaasa kütusega seotud avariiolukorra ja hiiglasliku andmevarguse; ning lisaks katkestati maailma suurima veiselihatarnija tegevus. Kahju täielik ulatus ei ole veel selgunud, kuid iga selline intsident juhib tähelepanu sellele, kui mastaapsed tagajärjed võivad olla info- ja kommunikatsioonitehnoloogia toodete, teenuste, süsteemide ja võrkude nõrkade kohtade kuritahtlikul ärakasutamisel. Eelduste kohaselt muutuvad sellised küberründed jõulisemaks ja sagenevad ning kahjustavad meie turvalisust.

Seepärast on ülioluline, et Euroopa Liit liiguks kiiremini edasi kõigis valdkondades – seadusandluses, operatiivtegevuses, investeeringutes ja diplomaatias – vastavalt sellele, mis strateegias ette nähti. Võimalikult kiiresti tuleks vastu võtta direktiiv, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus (küberturvalisuse 2. direktiiv), kriitilise tähtsusega üksuste vastupidavusvõime direktiiv ning digitaalse tegevuskerksuse määrus ja direktiiv. Selles vallas on oluline seada kõrgeid eesmärke, seda eeskätt tarneahelate puhul (arvestades, et hiljutistes küberrünnetes ära kasutatud nõrkuste jäljed viisid välja tarkvaramüüjate juurde), ning võtta meetmeid, mis tagaksid haldusasutuste vastupidavuse ja kiire intsidentidest teatamise. Varasemast pakilisemaks on muutunud nii vajadus luua infoturbekeskused, kes suudaksid varakult avastada märke küberrünnetest, kui ka vajadus töötada välja ühise küberüksuse kaudu võetavad usaldusväärsed, mõjusad ja kollektiivsed ELi vastumeetmed suurintsidentidele. Üha rohkemate küberrünnete taga on riigid või riikide toetatud jõud ja seepärast tuleb jätkata riikide vastutustundliku käitumise propageerimist ÜROs, aga ka küberdialoogide ja struktureeritud teabevahetuse käigus piirkondlike organisatsioonidega nagu Aafrika Liit, ASEANi piirkondlik foorum, Ameerika Riikide Organisatsioon (OAS) ja Euroopa Julgeoleku- ja Koostööorganisatsioon (OSCE); sellele peab lisanduma tulemuslik diplomaatiline tegevus, et pahatahtlikku käitumist küberruumis ennetada, heidutada, takistada ja sellele reageerida. Eriti oluline on koostöö samu seisukohti jagavate kolmandate riikidega ja transatlantilise tegevuskava prioriteedid; eeskätt tuleks põhjalikumalt tegeleda ELi ja USA koostöö võimalustega konkreetsetes küberjulgeoleku aspektides, sh teabe jagamine ja võitlus lunavara vastu.

II.Rakendamise esimese kuue kuu ülevaade

Mitme strateegilise meetmega on jõudsasti edasi liigutud.

II.1 VASTUPIDAVUS, TEHNOLOOGILINE SUVERÄÄNSUS JA JUHTPOSITSIOON

Tarneahelad ja elutähtsad taristud, sealhulgas COVID-19 pandeemia vastu võitlevad haiglad, on praegu kogu maailmas pidevas küberrünnete ohus. Komisjon toetab kaasseadusandjaid, et tagada küberturvalisuse direktiivi kavandatud reformi kiire vastuvõtmine, mis laiendaks esmajoones seda, kuidas on hõlmatud tervishoiusektor, kaasa arvatud teaduslaborid ja elutähtsate meditsiiniseadmete ja ravimite tootmine, ning energeetikasektori uued tegevusvaldkonnad, nagu vesiniku tootmine, kaugküte, elektritootmine ja naftavarude keskne säilitamine.

20. mail 2021 võeti vastu määrus, millega loodi küberturvalisuse pädevuskeskus ja riiklike koordineerimiskeskuste võrgustik. Sellega koondatakse ELi, liikmesriikide ja tööstuse ressursid, et parandada ja tugevdada tehnoloogilist ja tööstuslikku küberturvalisuse alast suutlikkust, suurendades seeläbi ELi avatud strateegilist autonoomiat ja pakkudes võimalust konsolideerida osa küberturvalisusega seotud tegevusi, mida rahastatakse programmist „Euroopa horisont“, digitaalse Euroopa programmist ning taaste- ja vastupidavusrahastust järgmise kuue aasta jooksul kokku 4,5 miljardi euro ulatuses. Selle toel töötatakse 2023. aastaks välja avalik-õiguslike või eraõiguslike infoturbekeskuste võrgustikust koosnev ELi küberkilp, mis võimaldab küberründeid aegsasti avastada ja kasutab ära tehisintellektipõhiseid töövahendeid. Mitu liikmesriiki on lisanud selliste riiklike keskuste väljaarendamise oma riiklikesse taaste- ja vastupidavuskavadesse. Komisjon eraldab selle töö täiendamiseks vahendeid digitaalse Euroopa programmist ja toetab nende keskuste järkjärgulist ühendamist. Rahastamisprogrammidega toetatakse ka algatust EuroQCI, mille eesmärk on rajada kogu ELi, kaasa arvatud ülemereterritooriume kattev turvaline kvantkommunikatsioonitaristu, mis kasutaks maismaa- ja kosmosetehnoloogiate parimat kombinatsiooni, ning eraldi eelarverida on ette nähtud tervishoiusektori kübervastupidavusvõime toetamiseks.

5G küberturvalisuse tagamine on pidev protsess, mis kaasneb 5G järkjärgulise kasutuselevõtu ja ELi 5G küberturvalisuse meetmepaketi rakendamisega. Enamikus liikmesriikides on juba olemas – või saavad varsti olema – raamistikud, mis võimaldavad kehtestada asjakohaseid piiranguid 5G pakkujatele. Mobiilsideoperaatorite suhtes kehtestatud nõudeid tugevdatakse elektroonilise side seadustiku siseriiklikku õigusesse ülevõtmisega ning ELi Küberturvalisuse Amet (ENISA) koostab ELi küberturvalisuse sertifitseerimise ettevalmistava kava 5G-võrkude jaoks. 5G tarneahelate uute suundumuste ja arengut põhjal otsustasid liikmesriikide ametivõimud algatada ELi meetmepaketi raames avatud, disagregeeritud ja koostalitlusvõimeliste võrgutehnoloogialahenduste (avatud raadio juurdepääsuvõrgud) turvamõju süvaanalüüsi. Selle töö tulemused aitavad veelgi kaasa ELi kooskõlastatud lähenemisviisile 5G-võrkude turvalisuse vallas.

Eeskätt ELi digiõppe tegevuskava raames on vaja rohkem pingutada selle nimel, et tulla toime oskuste suure nappusega (prognooside kohaselt on 2022. aastaks kogu maailmas täitmata peaaegu kaks miljonit ja ainuüksi Euroopas 350 000 küberturvalisusega seotud töökohta) ja naiste tõsise alaesindatusega – küberturvalisuse valdkonna töötajate seas on kogu maailmas naisi vaid 11 %, Euroopas aga veelgi vähem, vaid 7 %. Peale selle on käimas sellised poliitilised ettevõtmised nagu asjade interneti turvalisust ja internetistandardeid käsitlevate tulevaste algatuste ettevalmistamine ning mittetulundusliku domeeninimede teenuse („DNS4EU“) väljatöötamine.

II.2 Tegevussuutlikkuse suurendamine, et ennetada, heidutada ja reageerida

Arvestades, et riikide ja riikide toetatud jõudude korraldatud küberrünnete, aga ka kuritegelike rünnete arv võrkude ja infosüsteemide vastu kasvab ning et üha enam kasutatakse tundlikku teavet sisaldavaid andmebaase, peab EL oluliseks küberkogukondade tihedamaid omavahelisi sidemeid. Just nemad peavad ühtselt reageerima selliste ulatuslike küberrünnete tsiviil-, kriminaal-, diplomaatilistele ja kaitseaspektidele, nagu need, millega on hiljuti kokku puutunud mitu tundlikku majandussektorit. Seepärast peavad kõik kogukonnad pingutama, et viia lõpule neli sammu, mida on kirjeldatud käesoleva aruandega ühel ajal vastu võetud komisjoni soovituses ühise küberüksuse loomise kohta, sest tegemist on täiendava koordineerimise mehhanismiga, mis võimaldab täita lüngad selles, kuidas EL reageerib küberohtudele. Küberkuritegevuse vastases võitluses jõuti poliitilisele kokkuleppele ajutiste õigusnormide üle, millega võidelda laste seksuaalse kuritarvitamise vastu internetis ning mis võetakse peagi vastu; samal ajal keskendub komisjoni uus organiseeritud kuritegevuse vastu võitlemise strateegia vajadusele varustada õiguskaitsjad vajalike digitaalsete töövahenditega. 2020. aasta veebruaris võttis komisjon vastu ka tegevuskava sünergia kohta tsiviil-, kaitse- ja kosmosetööstuse vahel, milles kirjeldatakse uut juhtprojekti, et luua ELi kosmosepõhine ülemaailmse turvalise ühenduvuse süsteem. See „teeb kiire ühenduvuse Euroopas kõigile kättesaadavaks ning loob vastupanuvõimelise ühenduvussüsteemi, mis võimaldab Euroopal ühenduse säilitada ükskõik millises olukorras, sealhulgas suuremahuliste küberrünnete puhul internetis“.

Rahvusvahelisest vaatepunktist valmistab kõrge esindaja praegu kooskõlas strateegilise kompassi raames seatud eesmärkidega ette küberkaitsepoliitika raamistiku läbivaatamist, mille tulemused esitatakse liikmesriikidele 2021. aasta teises pooles. Kõrge esindaja on teinud tööd selle nimel, et parandada ELi suutlikkust pahatahtlikku käitumist küberruumis ennetada, heidutada, takistada ja sellele reageerida, tugevdades muu hulgas rahvusvahelist koostööd. 17. mail 2021 korraldas Euroopa välisteenistus koostöös eesistujariigi Portugali ja Euroopa Liidu Julgeoleku-uuringute Instituudiga (EUISS) stsenaariumipõhise arutelu ELi liikmesriikide ja rahvusvaheliste partneritega, et parandada vastastikust arusaamist üksteise diplomaatilisest lähenemisest sellele, kuidas pahatahtlikku käitumist küberruumis ennetada, heidutada, takistada ja sellele reageerida, ning leida võimalusi sellel eesmärgil tehtava rahvusvahelise koostöö tugevdamiseks. Selleks, et ELi küberdiplomaatia meetmete kogumit veelgi tugevdada, kogub Euroopa välisteenistus saadud kogemusi ning võib läbi vaadata suunised pahatahtlikule kübertegevusele ELi ühise diplomaatilise reageerimise raamistiku rakendamise kohta.

Nagu teatati ELi küberturvalisuse strateegias digikümnendi jaoks, algatab komisjon uuringu, et arendada teadlikkuse suurendamise töövahendeid, mille eesmärk on parandada ELi ettevõtjate valmisolekut ja vastupidavusvõimet intellektuaalomandi kübervarguse suhtes. Samuti tugevdas komisjon täitemeetmeid, mis on seotud direktiiviga 2013/40/EL, milles käsitletakse infosüsteemide vastu suunatud ründeid, ning algatas juunis 2021 mitme liikmesriigi suhtes uued rikkumismenetlused. Vajaduse korral kaalub komisjon täiendavate meetmete võtmist. Oluline on suurendada küberturvalisusega seotud oskuste kättesaadavust ELi tööjõu hulgas; seoses sellega võtab peamisi meetmeid küberturvalisuse pädevuskeskus, et parandada küberturvalisuse alaseid teadmisi ja võimekust ning julgustada interdistsiplinaarsete oskuste arendamist,

II.3 Ülemaailmse ja avatud küberruumi edendamine

Ohumaastiku teevad keerukamaks geopoliitilised pinged seoses ülemaailmse ja avatud internetiga ning tehnoloogiatega kogu tarneahelas. Interneti piirangud ja piirangud, mis kehtivad internetis, pahatahtliku kübertegevuse ning info- ja kommunikatsioonitehnoloogia toodete ja teenuste turvalisust ja terviklust mõjutava tegevuse sagenemine seab ohtu ülemaailmse ja avatud küberruumi, aga ka õigusriigi põhimõtte, inimõigused, põhivabadused ja demokraatlikud väärtused. Seepärast teeb kõrge esindaja koos liikmesriikidega tööd selle nimel, et edendada riikide vastutustundlikku käitumist küberruumis; ennekõike luuakse selleks koos 53 kaastoetajaga ÜRO tasandil riikide vastutustundlikku küberkäitumist edendav tegevusprogramm, mis tugineb rahvusvahelise julgeolekuga seotud teabe- ja telekommunikatsioonialaseid arengusuundi käsitleva ÜRO tähtajatu töörühma 12. märtsi 2021. aasta konsensusaruande soovitustele. EL tegeleb sellega, et tugevdada ja laiendada strateegia kohaselt küberdialoogide kaudu suhteid kolmandate riikide, rahvusvaheliste ja piirkondlike organisatsioonide ning mitut sidusrühma hõlmava kogukonnaga, ning loob selleks ELi küberdiplomaatia võrgustiku. Peale selle luuakse ka ELi kübersuutlikkuse suurendamise nõukogu, mis võimaldab ELi institutsioonidel, organitel ja asutustel oma tegevust paremini koordineerida ja teha koostööd ELi välise kübersuutlikkuse suurendamise vallas.