Käesoleva määruse õiguslik alus on Euroopa Liidu toimimise lepingu („ELi toimimise leping“) artikkel 298, milles on sätestatud, et liidu institutsioone, organeid ja asutusi abistab nende ülesannete täitmisel avatud, tõhus ja sõltumatu Euroopa halduskorraldus. Kooskõlas artikli 336 alusel vastu võetud personalieeskirjade ning teenistustingimustega kehtestavad Euroopa Parlament ja nõukogu seadusandliku tavamenetluse kohaselt määruste abil sel eesmärgil asjaomased sätted.

Euroopa Liidu Nõukogu rõhutas 9. märtsi 2021. aasta resolutsioonis, et küberturvalisus on hädavajalik nii riikide ja ELi tasandi avaliku halduse toimimiseks kui ka ühiskonna ja majanduse jaoks tervikuna, ning toonitas, kui tähtis on tugev ja järjepidev turvalisuse raamistik selleks, et kaitsta küberohtude eest kõiki ELi töötajaid, andmeid, sidevõrke, infosüsteeme ja otsustusprotsesse. Selle saavutamiseks tuleb eeskätt tõhustada liidu institutsioonide, organite ja asutuste vastupidavusvõimet ja parandada nende turvalisuskultuuri. Kättesaadavaks tuleb teha piisavad vahendid ja võimekus, muu hulgas CERT-EU volituste tugevdamise kontekstis.

·Direktiiv (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus. Samuti on see kooskõlas ettepanekuga võtta vastu direktiiv (EL) XXXX/XXXX, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 [küberturvalisuse 2. direktiivi ettepanek].

Käesoleva ettepanekuga luuakse raamistik ühiste küberturvalisuse normide ja meetmete tagamiseks liidu institutsioonides, organites ja asutustes. Ettepanekuga tahetakse veelgi parandada kõigi üksuste vastupidavusvõimet ja intsidentidele reageerimise suutlikkust. Ettepanek on kooskõlas komisjoni prioriteetidega muuta Euroopa digiajastule vastavaks ja luua tulevikuks valmis majandus, millest töötab inimeste heaks. Pealegi on turvalise ja vastupidava avaliku halduse tagamine ühiskonna kui terviku digipöörde alustala.

Aastatel 2019–2021 on hüppeliselt kasvanud liidu institutsioone, organeid ja asutusi mõjutavate oluliste intsidentide arv, mille taga on kõrgtehnoloogilise kinnisründeohu (Advanced Persistent Threat ehk APT) allikad. 2021. aasta esimesel poolel leidis aset sama palju olulisi intsidente kui kogu 2020. aastal. Seda näitab ka CERT-EUs 2020. aastal analüüsitud ekspertiistõmmiste, st mõjutatud süsteemide või seadmete sisust tehtud hetkvõtete arv, mis kolmekordistus võrreldes 2019. aastaga; oluliste intsidentide arv oli üle kümne korra suurem kui 2018. aastal.

·katsed tungida sisse liidu institutsioonide, organite ja asutuste IT-taristusse (kui selline katse on edukas, käsitletakse seda kui intsidenti, muul juhul registreeritakse see ikkagi kui tuvastatud katse);

Määrus on vahetult kohaldatav ja seega sobiv õiguslik vahend, millega määrata kindlaks liidu institutsioonidele, organitele ja asutustele kehtestatavad kohustused ja neid kohustusi optimeerida. Määrus on sobivaim õiguslik vahend, et teha sihipäraseid parandusi.

Käesolevas määruses kavandatud õigusnormid ei lähe kaugemale, kui konkreetsete eesmärkide rahuldavaks täitmiseks vajalik. Kavandatud meetmed aitavad saavutada küberturvalisuse ühtlaselt kõrge taseme, minemata siiski kaugemale sellest, mis vajalik, et saavutada see eesmärk üha kasvavate riskide tingimustes.

Allpool 3. jaotises selgitatud praegused erinevused liidu institutsioonide, organite ja asutuste küberturvalisuse alastes hoiakutes ja lähenemisviisis küberturvalisuse valdkonnale on avatud, tõhusa ja sõltumatu Euroopa halduskorralduse jaoks täiendavad takistused. Ilma ühise lähenemisviisita areneksid liidu institutsioonide, organite ja asutuste küberturvalisuse alased hoiakud edasi eri suundades. Seega on nimetatud õiguslik alus asjakohane, arvestades et määrusega tahetakse luua liidu institutsioonide, organite ja asutuste küberturvalisuse ühine õigusraamistik.

Infotehnoloogia on andnud liidu institutsioonidele, organitele ja asutustele uusi võimalusi kodanikega suhtlemiseks ja üldise tegevuse parandamiseks. Tehnoloogia areneb pidevalt ning koos sellega arenevad ka küberohud. Liidu institutsioonidest, organitest ja asutustest on saanud keeruliste küberrünnete jaoks väga atraktiivne sihtmärk. Tundub, et süsteemide ja nõuete kehtestamine küberturvalisuse tagamiseks aitab kaasa Euroopa halduskorralduse tõhususele ja sõltumatusele, nii et liidu institutsioonid, organid ja asutused saavad digitaalses maailmas oma ülesandeid täites tõhusamalt tegutseda.

Seega on küll tõenäoline, et mitu liidu institutsiooni, organit ja asutust kulutavad küberturvalisusele vähem kui nad peaksid, kuid käesolev määrus ei too iseenesest kaasa praeguste kulude kasvu. Iga üksus peaks ka ilma käesoleva määruseta tagama küberturvalisuse piisava taseme. Määrus jätkab CERT-EU juhtnõukogu varasemat koostööd ja annab ametliku vormi osaliselt juba praegu toimuva teabevahetuse ühele kihile. Nagu on täpsustatud finantsselgituses, vajab CERT-EU oma laiendatud ülesannete täitmiseks täiendavaid ressursse ning need ressursid tuleks ümber jaotada CERT-EU teenuseid kasutavatelt liidu institutsioonidelt, organitelt ja asutustelt.

Turupõhised võrdlusalused ja uuringud näitavad, et otsesed kulutused küberturvalisusele on kõikunud vahemikus 4–7 % organisatsiooni summaarsetest IT-kuludest. Samas näitab ohuanalüüs, mille CERT-EU tegi käesoleva seadusandliku ettepaneku toetuseks, et rahvusvahelisi organisatsioone ja poliitilisi organisatsioone ähvardavad ohud on kasvanud ning seepärast oleks otstarbekam eraldada küberturvalisusele ligikaudu 10 % IT eelarvest. Sellise tegevuse täpset maksumust ei ole võimalik kindlaks määrata, sest ei ole üksikasjalikku teavet liidu institutsioonide, asutuste ja organite IT-kulutuste kohta ega selle kohta, kui suur osa kulutustest tehakse küberturvalisusele.

Euroopa Liit tegutseb kindlalt selle nimel, et tagada põhiõiguste kaitse kõrge tase. Igasugune teabe jagamine käesoleva määruse põhjal toimub usaldusväärses keskkonnas ja austades täielikult õigust isikuandmete kaitsele, nagu on sätestatud Euroopa Liidu põhiõiguste harta artiklis 8 ja asjaomastes andmekaitsealastes õigusaktides, eelkõige Euroopa Parlamendi ja nõukogu määruses (EL) 2018/1725.

Käesolev ettepanek mõjutab liidu institutsioone, organeid ja asutusi. See tähendab, et eraldi mõjuhinnangut ei ole vaja, sest seda ei kohaldata liikmesriikide suhtes.

Komisjon on konsulteerinud sidusrühmadega liidu institutsioonides, organites ja asutustes, aga ka liikmesriikide esindajatega nõukogus ja sidusrühmadega Euroopa Parlamendis. 25. juunil 2021 osalesid liikmesriikide ning liidu institutsioonide, organite ja asutuste asjaomaste sidusrühmade esindajad komisjoni korraldatud seminaril, et arutada tulevase määruse ettepaneku sisu.

Kokkuvõttes näitab 20 liidu institutsiooni, organi ja asutuse analüüsimine, et nende haldustavad, küberhügieen, üldine võimekus ja küpsus on äärmiselt erinevad. Seepärast on väga oluline nõuda, et kõik liidu institutsioonid, organid ja asutused rakendaksid küberturvalisuse baastaset, et seeläbi vähendada küpsusetaseme erinevusi ja viia küberturvalisus kõigis liidu institutsioonides, organites ja asutustes ühtlaselt kõrgele tasemele.

·Üldiselt on mitme liidu institutsiooni, organi ja asutuse tuvastus- ja reageerimisvõimekus küll küpsel tasemel, kuid nende küberturvalisuse haldamise suutlikkuse integreeritud riskijuhtimise tasemed on erinevad.

Hindamine tugines küsimustikele, millele need institutsioonid, organid ja asutused vastasid, avalikult kättesaadavatel andmetel ning teabele, mille liidu institutsioonid, organid ja asutused ise otse esitasid. Sealne teave on piisav, et teha praeguses olukorras järgmine järeldus:

Lisaks CERT-EU ohuanalüüsile on komisjon hinnanud küberturbe toimimist 20 liidu institutsioonis, organis ja asutuses. See hinnang annab ülevaate väljakujunenud küberturvalisuse tavadest ja küberturvalisuse haldamise võimekusest koos mõningate tehniliste turvameetmete väliste võrdlusalustega.

Määrusega tagatakse koostöö ja teabevahetus CERT-EU ning liidu institutsioonide, organite ja asutuste vahel, et suurendada usaldust ja kindlustunnet. Selle eesmärgi saavutamiseks võib CERT-EU paluda liidu institutsioonidel, organitel ja asutustel esitada asjakohast teavet ning CERT-EU võib vahetada liidu institutsioonide, organite ja asutustega teavet konkreetse intsidendi kohta, et hõlbustada samalaadsete küberohtude või intsidentide tuvastamist, ilma mõjutatud asjaosalise nõusolekuta. Sellist teavet, millest ilmneb küberturvalisuse intsidendi sihtmärgi identiteet, võib CERT-EU intsidendi kohta vahetada üksnes mõjutatud asjaosalise nõusolekul.

Liidu institutsioonid, organid ja asutused on kohustatud kehtestama sisemise küberturvalisuse alaste riskide juhtimise, haldamise ja kontrollimise raamistiku, mis tagab kõigi küberturvalisuse riskide tulemusliku ja aruka juhtimise. Lisaks peavad institutsioonid, organid ja asutused võtma vastu küberturvalisuse baastaseme, et vähendada raamistiku kohaselt kindlaks tehtud riske, hinnata regulaarselt küberturvalisuse küpsuse taset ja võtta vastu küberturvalisuse kava. (Artiklid 4–8)

Määrusega nähakse ette meetmed, millega tagada küberturvalisuse ühtlaselt kõrge tase, ning seda kohaldatakse liidu institutsioonide, organite ja asutuste suhtes, et need saaksid täita oma ülesandeid avatult, tõhusalt ja sõltumatult. (Artiklid 1–3, 23–25)

CERT-EU võib koostada ettepaneku juhenddokumendi või soovituse kohta, mille IICB võib otsustada vastu võtta. Juhenddokument on nõuandev dokument, mis on suunatud kõigile või mõnedele liidu institutsioonidele, organitele ja asutustele, soovitus aga on suunatud konkreetsele liidu institutsioonile, organile või asutusele. Üleskutse on CERT-EU nõuandev dokument, milles kirjeldatakse kiireloomulisi turbemeetmeid, mida liidu institutsioonid, organid ja asutused peaksid võtma kindlaksmääratud aja jooksul.

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 298,

võttes arvesse Euroopa Aatomienergiaühenduse asutamislepingut, eriti selle artiklit 106a,

võttes arvesse Euroopa Komisjoni ettepanekut,

olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele,

toimides seadusandliku tavamenetluse kohaselt

ning arvestades järgmist:

(1)Digiajastul on info- ja kommunikatsioonitehnoloogia avatud, tõhusa ja sõltumatu liidu halduskorralduse alustala. Tehnoloogia areng ning digisüsteemide kasvav keerukus ja omavaheline seotus võimendavad küberturvalisuse riske ja suurendavad liidu halduskorralduse vastuvõtlikkust küberohtudele ja -intsidentidele, mis omakorda seab ohtu haldusasutuste toimepidevuse ja võime tagada oma andmete turvalisus. Tänapäeval on pilveteenuste kasutamise kasv, IT kasutamine kõikjal, intensiivne digitaliseeritus, kaugtöö ning tehnoloogia ja ühenduvuse areng liidu haldusüksuste kõigi tegevuste põhielemendid, kuid digivastupidavusvõime ei ole sellesse veel piisavalt sisse ehitatud.

(2)Liidu institutsioone, organeid ja asutusi ümbritsevad küberohud arenevad pidevalt. Ohusubjektide taktika, metoodika ja töövõtted arenevad pidevalt, kuid selliste rünnete peamised ajendid muutuvad vähe: alates väärtusliku avalikustamata teabe varastamisest, kuni raha teenimise, avaliku arvamusega manipuleerimiseni või digitaristu kahjustamiseni. Küberründeid korraldatakse aina sagedamini ning ründed ise muutuvad keerukamaks ja automatiseeritumaks; sihikule võetakse ohtudele avatud ja üha suurenevad ründepinnad ning nõrkusi kasutatakse kiiresti ära.

(3)Liidu institutsioonide, organite ja asutuste IT-keskkonnad on omavahel seotud, andmevood on integreeritud ja nende kasutajad teevad tihedat koostööd. See omavaheline seotus tähendab, et isegi kui mõni katkestus piirdub esialgu ühe liidu institutsiooni, organi või asutusega, võib see kaasa tuua laiema ahelreaktsiooni, millel võib olla kaugeleulatuv ja pikaajaline negatiivne mõju ka teistele. Lisaks sellele on teatavate institutsioonide, organite ja asutuste IT-keskkonnad seotud liikmesriikide IT-keskkondadega ning see tähendab, et intsident ühes liidu üksuses võib seada ohtu liikmesriikide IT-keskkonna turvalisuse ja vastupidi.

(4)Liidu institutsioonid, organid ja asutused on atraktiivsed sihtmärgid, keda ähvardavad heade erialaste oskuste ja korralike ressurssidega ohusubjektid, aga ka muud ohud. Samas on kübervastupidavuse tase ning pahatahtliku kübertegevuse avastamise ja sellele reageerimise võime nendes üksustes väga erinev. Seepärast on Euroopa halduskorralduse toimimiseks vaja, et liidu institutsioonid, organid ja asutused saavutaksid küberturvalisuse ühtlaselt kõrge taseme küberturvalisuse baastasemega (ehk küberturvalisuse baaseeskirjadega, mida võrgu- ja infosüsteemid ning nende operaatorid ja kasutajad peaksid küberturvalisuse riskide minimeerimiseks järgima), ning teabevahetuse ja koostööga.

(5)Direktiiviga [küberturvalisuse 2. direktiivi ettepanek], mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, tahetakse veelgi parandada avaliku ja erasektori üksuste, riikide pädevate asutuste ja organite ning tervikuna kogu liidu küberturvalisuse alast vastupidavusvõimet ja intsidentidele reageerimise suutlikkust. Seepärast on vaja, et liidu institutsioonid, organid ja asutused järgiksid seda eeskuju ja tagaksid normid, mis on direktiiviga [küberturvalisuse 2. direktiivi ettepanek] kooskõlas ja mille eesmärgid on sama ambitsioonikad.

(6)Küberturvalisuse ühtlaselt kõrge taseme saavutamiseks on vaja, et iga liidu institutsioon, organ ja asutus kehtestaks sisemise küberturvalisuse alaste riskide juhtimise, haldamise ja kontrollimise raamistiku, mis tagab kõigi küberturvalisuse riskide tulemusliku ja aruka juhtimise ning võtab arvesse toimepidevust ja kriisijuhtimist.

(7)Erinevused liidu institutsioonide, organite ja asutuste vahel eeldavad paindlikku rakendamist, sest üks ja sama lahendus ei sobi kõigile. Küberturvalisuse ühtlaselt kõrge taseme tagamise meetmed ei tohiks sisaldada kohustusi, mis sekkuvad otseselt liidu institutsioonide, organite ja asutuste ülesannete täitmisse või piiravad nende institutsioonilist sõltumatust. Seega peaksid need institutsioonid, organid ja asutused kehtestama oma küberturvalisuse raamistikud küberturvalisuse alaste riskide juhtimise, haldamise ja kontrollimise jaoks ning võtma vastu oma baastaseme ja küberturvalisuse kavad.

(8)Vältimaks ebaproportsionaalse finants- ja halduskoormuse kehtestamist liidu institutsioonidele, organitele ja asutustele, peaksid küberturvalisuse riskide juhtimise nõuded olema proportsionaalsed asjaomase võrgu- ja infosüsteemi puhul esineva riskiga, võttes seejuures arvesse selliste meetmete kõrget tehnilist taset. Iga liidu institutsioon, organ ja asutus peaks püüdma eraldada oma IT-eelarvest piisava osa oma küberturvalisuse taseme tõstmiseks; pikemas perspektiivis tuleks eesmärgiks seada ligikaudu 10 %.

(9)Küberturvalisuse ühtlaselt kõrge taseme saavutamiseks peab küberturvalisus kuuluma iga liidu institutsiooni, organi ja asutuse kõrgeima juhtimistasandi järelevalve alla, kes peaks kiitma heaks küberturvalisuse baastaseme, mis peaks maandama iga institutsiooni, organi ja asutuse kehtestatava raamistiku kohaselt kindlaks tehtud riske. Tegelemine küberturvalisuse kultuuriga, st igapäevase küberturvalisusega, on kõigis liidu institutsioonides, organites ja asutustes küberturvalisuse baastaseme lahutamatu osa.

(10)Liidu institutsioonid, organid ja asutused peaksid hindama riske, mis tulenevad suhetest tarnijate ja teenuseosutajatega, sh andmetalletuse ja andmetöötlusteenuste pakkujate või hallatavate turbeteenuste pakkujatega, ning võtma asjakohaseid meetmeid nende riskide vähendamiseks. Need meetmed peaksid olema küberturvalisuse baastaseme osa ning neid tuleks CERT-EU välja antavates juhenddokumentides ja soovitustes täpsemalt kirjeldada. Meetmete ja suuniste kindlaksmääramisel tuleks nõuetekohaselt arvesse võtta asjakohaseid ELi õigusakte ja põhimõtteid, sh võrgu- ja infoturbe koostöörühma tehtud riskihindamisi ja soovitusi, näiteks ELi kooskõlastatud riskihindamine ja ELi meetmepakett 5G-võrkude turvalisuse tagamiseks. Lisaks võiks nõuda asjaomaste IKT toodete, teenuste ja protsesside sertifitseerimist vastavalt konkreetsetele ELi küberturvalisuse sertifitseerimise kavadele, mis on võetud vastu määruse (EL) 2019/881 artikli 49 kohaselt.

(11)Liidu institutsioonide ja organite peasekretärid otsustasid mais 2011 luua liidu institutsioonide, organite ja asutuste infoturbeintsidentidega tegeleva rühma (CERT-EU) eelrühma, kelle tegevuse üle teostaks järelevalvet institutsioonidevaheline juhtnõukogu. Juulis 2012 kinnitasid peasekretärid praktilise korra ja leppisid kokku CERT-EU kui alalise üksuse toetamises, et aidata institutsioonidevahelise küberturvalisuse alase koostöö ühe selge näitena jätkuvalt parandada liidu institutsioonide, organite ja asutuste infotehnoloogia turvalisuse üldist taset. Septembris 2012 loodi Euroopa Komisjoni rakkerühmana institutsioonidevaheliste volitustega CERT-EU. Detsembris 2017 sõlmisid liidu institutsioonid, organid ja asutused institutsioonidevahelise kokkuleppe CERT-EU ülesehituse ja töökorralduse kohta. Seda korda tuleks edasi arendada, et toetada määruse rakendamist.

(12)Kooskõlas sellega, kuidas liikmesriikides ja maailmas on paljud CERTid nimetatud ümber küberturvalisuse keskusteks, tuleks ära muuta CERT-EU nimi: ELi institutsioonide ja ametite „infoturbeintsidentidega tegelev rühm“ tuleks asendada „küberturvalisuse keskusega“, kuid alles peaks jääma selle nime tuntuks saanud lühivorm „CERT-EU“.

(13)Paljud küberründed on osa laiematest rünnakutest, mis on suunatud liidu institutsioonide, organite ja asutuste rühmade vastu või huviringkondade vastu, kuhu kuuluvad ka liidu institutsioonid, organid ja asutused. Ettevaatava tuvastamise, intsidentidele reageerimise ja leevendusmeetmete võimaldamiseks peaksid liidu institutsioonid, organid ja asutused teatama CERT-EU-le olulistest küberohtudest, olulistest nõrkustest ja olulistest intsidentidest ning jagama asjakohaseid tehnilisi üksikasju, et teistes liidu institutsioonides, organites ja asutustes oleks võimalik samalaadseid küberohte, nõrkusi ja intsidente tuvastada või leevendada ja neile reageerida. Järgides samasugust lähenemisviisi, nagu on visandatud direktiivis [küberturvalisuse 2. direktiivi ettepanek], peaks üksustel olema kohustus esitada CERT-EU-le esialgne teade 24 tunni jooksul pärast seda, kui nad saavad teada olulisest intsidendist. Selline teabevahetus peaks andma CERT-EU-le võimaluse levitada teavet teistele liidu institutsioonidele, organitele ja asutustele ning asjaomastele partneritele, et aidata kaitsta liidu IT-keskkondi ja liidu partnerite IT-keskkondi samalaadsete intsidentide, ohtude ja nõrkuste eest.

(14)Lisaks sellele, et CERT-EU-le antakse rohkem ülesandeid ja laiem tegevusulatus, tuleks luua institutsioonidevaheline küberturvalisuse nõukoda (IICB), mis peaks soodustama küberturvalisuse ühtlaselt kõrget taset liidu institutsioonides, organites ja asutustes sellega, et teeb seiret selle üle, kuidas liidu institutsioonid, organid ja asutused käesolevat määrust rakendavad, ja järelevalvet CERT-EU üldiste prioriteetide ja eesmärkide rakendamise üle ning tagab CERT-EU strateegilise juhtimise. IICB peaks tagama institutsioonide esindatuse ning kaasama organite ja asutuste esindajad läbi liidu asutuste võrgustiku.