YHTEINEN TIEDONANTO EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE

EU:n kyberturvallisuusstrategia digitaaliselle vuosikymmenelle

I.JOHDANTO: KYBERTURVALLINEN DIGITAALINEN SIIRTYMÄ MONITAHOISESSA UHKAYMPÄRISTÖSSÄ

Kyberturvallisuus on olennainen osa eurooppalaisten turvallisuutta. Olipa kyse sitten verkkoon liitetyistä laitteista, sähköverkoista, pankkipalveluista, lentokoneista, julkishallinnosta tai sairaaloista, ihmisten on voitava luottaa siihen, että heitä suojellaan kyberuhkilta. EU:n talous, demokratia ja yhteiskunta ovat ennennäkemättömän riippuvaisia turvallisista ja luotettavista digitaalisista välineistä ja yhteyksistä. Kyberturvallisuuden varmistaminen onkin välttämätön osa selviytymiskykyisen, vihreän ja digitaalisen Euroopan rakentamista.

Liikenne, energia, terveydenhuolto, tietoliikenne, rahoitusala, turvallisuus, demokratian toteutuminen, avaruus ja puolustus ovat kaikki erittäin riippuvaisia verkko- ja tietojärjestelmistä, joilla on koko ajan enemmän yhteyksiä keskenään. Vastaavasti verkot ja tietojärjestelmät ovat erittäin riippuvaisia vakaasta sähköntoimituksesta, eli eri alojen välillä on erittäin vahvoja riippuvuussuhteita. Maailmassa on jo enemmän verkkoon liitettyjä laitteita kuin ihmisiä, ja niiden määrän odotetaan kasvavan 25 miljardiin vuoteen 2025 mennessä. Silloin näistä laitteista neljännes tulee olemaan Euroopassa. Koronaviruspandemia on vauhdittanut työskentelymallien digitalisoitumista entisestään, sillä sen aikana EU:ssa 40 prosenttia työntekijöistä siirtyi etätyöhön. Tällä on todennäköisesti pysyviä vaikutuksia arkielämään. Samalla alttius kyberhyökkäyksille lisääntyy. Monilla kuluttajien käytössä olevilla verkkoon liitetyillä esineillä tiedetään olevan haavoittuvuuksia, jotka lisäävät entisestään haitallisen kybertoiminnan hyökkäyspinta-alaa. EU:n teollinen toimintaympäristö on yhä digitalisoituneempi ja verkottuneempi. Tämä tarkoittaa, että myös kyberhyökkäykset voivat vaikuttaa teollisuuteen ja ekosysteemeihin laajemmin kuin koskaan aikaisemmin.

Uhkia pahentavat geopoliittiset jännitteet, joita liittyy maailmanlaajuiseen ja avoimeen internetiin ja teknologian hallintaan koko toimitusketjussa. Nämä jännitteet näkyvät siinä, että yhä useammat valtiot rakentavat digitaalisia rajoja. Internetin ja sen käytön rajoitukset uhkaavat paitsi maailmanlaajuista ja avointa kybertoimintaympäristöä myös oikeusvaltioperiaatetta, perusoikeuksia, vapautta ja demokratiaa, jotka ovat EU:n keskeisiä arvoja. Kybertoimintaympäristöä käytetään yhä enemmän poliittisiin ja ideologisiin tarkoituksiin, ja lisääntyvä polarisoituminen kansainvälisellä tasolla haittaa tehokasta monenvälisyyttä. Hybridiuhkissa disinformaatiokampanjat yhdistyvät kyberhyökkäyksiin, jotka kohdistuvat infrastruktuuriin, taloudellisiin prosesseihin ja demokraattisiin instituutioihin. Näin voidaan aiheuttaa fyysistä vahinkoa, saada laittomasti haltuun henkilötietoja, varastaa teollisia tai valtionsalaisuuksia, lietsoa epäluottamusta ja heikentää sosiaalista yhteenkuuluvuutta. Tällainen toiminta heikentää kansainvälistä turvallisuutta ja vakautta sekä vaarantaa edut, joita kybertoimintaympäristöstä on taloudelliselle, sosiaaliselle ja poliittiselle kehitykselle.

Kriittiseen infrastruktuuriin kohdistuvat vihamieliset hyökkäykset ovat merkittävä maailmanlaajuinen riski. Internetin rakenne on hajautettu, eikä sillä ole keskusrakennetta eikä eri sidosryhmien yhteistä hallintoa. Internet on selvinnyt verkkoliikenteen eksponentiaalisesta kasvusta siihen jatkuvasti kohdistuneista vihamielisistä häiriöyrityksistä huolimatta. Samaan aikaan riippuvuus maailmanlaajuisen ja avoimen internetin keskeisistä toiminnoista, kuten DNS-nimijärjestelmästä (Domain Name System), ja viestintään ja verkkoisännöintiin, sovelluksiin ja dataan liittyvistä keskeisistä internetpalveluista on lisääntynyt. Nämä palvelut keskittyvät yhä enemmän muutamien yksityisten yritysten käsiin. Tämä lisää Euroopan talouden ja yhteiskunnan haavoittuvuutta tilanteissa, joissa internetin ytimeen tai yhteen tai useampaan näistä yrityksistä kohdistuu haitallisia geopoliittisia tai teknisiä tapahtumia. Kun pandemian aikana internetin käyttö on lisääntynyt ja toimintamallit muuttuneet, on huomattu, miten haavoittuvaisia digitaalisesta infrastruktuurista riippuvaiset toimitusketjut ovat.

Huoli turvallisuudesta on yksi tavallisimmista syistä olla käyttämättä verkkopalveluja. EU:ssa kaksi viidestä verkkopalveluiden käyttäjästä on kohdannut turvallisuusongelmia, ja kolme viidestä kokee, ettei kykene suojautumaan kyberrikollisuudelta. Joka kolmas on saanut kolmen viime vuoden aikana vilpillisiä sähköpostiviestejä tai puheluja, joissa on kysytty henkilötietoja, mutta 83 prosenttia ei ole koskaan ilmoittanut verkkorikoksesta. Joka kahdeksas yritys on kärsinyt kyberhyökkäyksistä. Yli puolet yritysten ja yksityishenkilöiden tietokoneista, joihin on tarttunut haittaohjelma, saa toisenkin haittaohjelman samana vuonna. Joka vuosi menetetään satoja miljoonia tietueita tietoturvaloukkausten vuoksi. Yksittäiselle yritykselle tietoturvaloukkauksesta koituvat keskimääräiset kustannukset nousivat vuonna 2018 yli 3,5 miljoonaan euroon. Kyberhyökkäyksen vaikutuksia ei useinkaan voida eristää, vaan niistä voi käynnistyä ketjureaktioita, jotka vaikuttavat koko talouteen ja yhteiskuntaan ja siten miljooniin ihmisiin.

Digitaalisuus on läsnä lähes kaikenlaisten rikosten tutkinnassa. Vuonna 2019 poikkeamien määrän ilmoitettiin kolminkertaistuneen edellisvuodesta. Tavallisimmin kyberhyökkäys tapahtuu haittaohjelmien välityksellä. Tällaisista ohjelmista on saatu arviolta 700 miljoonaa uutta näytettä. Vuonna 2020 kyberrikollisuudesta aiheutuu maailmantaloudelle arviolta 5,5 biljoonan euron kustannukset, mikä on kaksi kertaa enemmän kuin vuonna 2015. Tämä on kaikkien aikojen suurin taloudellisen varallisuuden siirto, joka ylittää jopa maailmanlaajuisen huumekaupan. Vuonna 2017 tehtiin erityisen suuri yksittäinen kiristysohjelmahyökkäys (WannaCry), josta aiheutui maailmantaloudelle arviolta 6,5 miljardin euron kustannukset.

Digitaaliset palvelut ja rahoitusala samoin kuin julkinen sektori ja valmistusteollisuus ovat kyberhyökkäysten tavallisimpia kohteita. Tästä huolimatta kyberturvallisuuteen liittyvät valmiudet ja kybertietoisuus ovat edelleen heikolla tasolla, ja työntekijöiden kyberturvallisuustaidoissa on vakavia puutteita. Vuonna 2019 tapahtui lähes 450 kyberturvallisuuspoikkeamaa, jotka liittyivät rahoituksen ja energian kaltaisiin elintärkeisiin infrastruktuureihin Euroopassa. Pandemian aikana on koeteltu etenkin terveydenhuollon organisaatioita ja työntekijöitä. Kun teknologia ja fyysinen maailma kytkeytyvät erottamattomasti toisiinsa, kyberhyökkäykset vaarantavat kaikkein heikoimmassa asemassa olevien ihmisten hengen ja hyvinvoinnin. Yli kaksi kolmasosaa yrityksistä, erityisesti pk-yrityksistä, on kyberturvallisuusasioissa aloittelijoita, ja eurooppalaisissa yrityksissä valmiustason katsotaan olevan heikommalla tasolla kuin aasialaisissa ja amerikkalaisissa yrityksissä. Euroopassa on edelleen täyttämättä arviolta 291 000 kyberturvallisuusammattilaisen paikkaa. Kyberturvallisuusasiantuntijoiden rekrytoinnin ja kouluttamisen hitaus lisää organisaatioiden kyberturvallisuusriskejä.

EU:lla ei ole yhteisiä tilannetietoja kyberuhkista. Tämä johtuu siitä, että kansalliset viranomaiset eivät kerää ja jaa järjestelmällisesti tietoja, esimerkiksi yksityiseltä sektorilta saatavia tietoja, jotka voisivat auttaa arvioimaan kyberturvallisuuden tilaa EU:ssa. Jäsenvaltiot ilmoittavat vain murto-osasta poikkeamia, eikä tietojen jakaminen ole järjestelmällistä eikä kattavaa. Kyberhyökkäykset saattavat olla vain yksi osa keskitettyjä vihamielisisiä hyökkäyksiä eurooppalaisia yhteiskuntia vastaan. Tällä hetkellä jäsenvaltiot antavat toisilleen vain vähän operatiivista apua, eikä jäsenvaltioilla ja EU:n toimielimillä, virastoilla ja elimillä ole yhteistä operatiivista mekanismia laajamittaisten rajatylittävien kyberturvallisuuspoikkeamien tai -kriisien varalta.

Kyberturvallisuuden parantaminen on olennaisen tärkeää, jotta ihmiset voivat luottaa siihen, että innovaatioiden, yhteenliitettävyyden ja automaation käyttö on turvallista ja jotta voidaan turvata perusoikeudet ja -vapaudet, mukaan lukien oikeus yksityisyyteen ja henkilötietojen suojaan, sekä sananvapaus ja tiedonvälityksen vapaus. Kyberturvallisuus on välttämätön edellytys verkkoyhteyksille sekä maailmanlaajuiselle ja avoimelle internetille, jotka muodostavat 2020-luvulla talouden ja yhteiskunnan muutoksen perustan. Se auttaa luomaan lisää ja parempia työpaikkoja, lisää työskentelyn joustavuutta, tehostaa ja kestävöittää liikennettä ja maataloutta sekä helpottaa ja parantaa terveyspalvelujen saatavuutta. Kyberturvallisuus liittyy läheisesti rajatylittäviin verkkoihin, älykkäisiin mittareihin ja päällekkäisten datavarastojen välttämiseen, ja on siten keskeisessä roolissa myös siirryttäessä Euroopan vihreän kehityksen ohjelman mukaisesti puhtaampaan energiaan. Se on välttämätön myös kansainvälisen turvallisuuden ja vakauden sekä talouksien, demokratioiden ja yhteiskuntien kehityksen kannalta kaikkialla maailmassa. Siksi on tärkeää, että hallitukset, yritykset ja yksityishenkilöt käyttävät digitaalisia välineitä vastuullisella ja turvallisuustietoisella tavalla. Arkisia toimintoja koskevan digitaalisen siirtymän on rakennuttava kyberturvallisuustietoisuudelle ja kyberhygieniasta huolehtimiselle.

EU:n uusi kyberturvallisuusstrategia digitaaliselle vuosikymmenelle liittyy kiinteästi tiedonantoon ”Euroopan digitaalista tulevaisuutta rakentamassa”, komission laatimaan Euroopan elvytyssuunnitelmaan, vuosien 2020–2025 turvallisuusunionistrategiaan, EU:n ulko- ja turvallisuuspoliittisen globaalistrategiaan ja Eurooppa-neuvoston strategiseen ohjelmaan 2019–2024. Siinä esitetään, miten EU suojelee kansalaisiaan, yrityksiään ja instituutioitaan kyberuhkilta ja miten se edistää kansainvälistä yhteistyötä ja johtaa pyrkimyksiä turvata avoin ja maailmanlaajuinen internet.

II.GLOBAALI NÄKÖKULMA, EUROOPAN TASON TOIMINTA

Strategian tavoitteena on varmistaa maailmanlaajuinen ja avoin internet, jossa eurooppalaisten turvallisuutta ja perusoikeuksia ja -vapauksia voidaan tehokkaasti suojella niihin kohdistuvilta riskeiltä. Strategia jatkaa siitä, mihin aiempien strategioiden avulla on päästy, ja sisältää konkreettisia ehdotuksia ottaa käyttöön sääntelyä, investointeja ja politiikkaa koskevia välineitä kolmella EU:n toiminta-alalla: 1) häiriönsietokyky, teknologinen riippumattomuus ja johtajuus, 2) operatiivisten valmiuksien kehittäminen uhkien ehkäisemiseksi ja torjumiseksi ja niihin vastaamiseksi ja 3) maailmanlaajuisen ja avoimen kybertoimintaympäristön edistäminen. EU on sitoutunut tukemaan tätä strategiaa ennennäkemättömän suurilla – aiempiin verrattuna jopa nelinkertaisilla – investoinneilla EU:n digitaaliseen siirtymään seuraavien seitsemän vuoden aikana osana uutta teknologia- ja teollisuuspolitiikkaa ja elpymisohjelmaa.

Kyberturvallisuusulottuvuus on sisällytettävä kaikkiin näihin digitaaliseen siirtymään liittyviin investointeihin ja erityisesti investointeihin, jotka koskevat tekoälyn, salauksen ja kvanttilaskennan kaltaisia keskeisiä teknologioita. Apuna käytetään kannustimia, velvoitteita ja vertailuarvoja. Tämä voi vauhdittaa Euroopan kyberturvallisuustoimialan kasvua ja rohkaista poistamaan vanhat järjestelmät asteittain käytöstä. Euroopan kyberpuolustusratkaisut ovat osa Euroopan puolustuksen teollista ja teknologista perustaa, ja niitä tuetaan Euroopan puolustusrahastosta. Kyberturvallisuusulottuvuus sisältyy kumppaneidemme tukemiseksi käytettävissä ulkoisen toiminnan rahoitusvälineisiin, erityisesti naapuruus-, kehitys- ja kansainvälisen yhteistyön välineeseen. Teknologioiden väärinkäytön estäminen, elintärkeiden infrastruktuurien suojeleminen ja toimitusketjujen eheyden varmistaminen auttavat EU:ta noudattamaan myös vastuullista valtion toimintaa koskevia YK:n normeja, sääntöjä ja periaatteita.

1. HÄIRIÖNSIETOKYKY, TEKNOLOGINEN RIIPPUMATTOMUUS JA JOHTAJUUS

EU:n elintärkeät infrastruktuurit ja keskeiset palvelut digitalisoituvat ja ovat yhä riippuvaisempia toisistaan. Kaikki internetiin yhteydessä olevat tuotteet, oli kyse sitten automatisoiduista autoista, teollisuuden valvontajärjestelmistä tai kodinkoneista, ja koko niiden markkinoille saattamiseen liittyvä toimitusketju on suunniteltava alusta asti turvallisuutta silmällä pitäen. Niillä on oltava hyvä kyberturvallisuuspoikkeamien sietokyky, ja niiden on oltava nopeasti korjattavissa, kun haavoittuvuuksia havaitaan. Tämä on olennaisen tärkeää, jotta EU:n yksityisellä ja julkisella sektorilla olisi käytössään mahdollisimman turvalliset infrastruktuurit ja palvelut. Tulevalla vuosikymmenellä EU:lla on mahdollisuus ottaa johtoasema turvallisten teknologioiden kehittämisessä koko toimitusketjua varten. Häiriönsietokyvyn ja kyberturvallisuuteen liittyvien teollisten ja teknologisten valmiuksien varmistamiseksi olisi otettava käyttöön kaikki tarvittavat sääntelyä, investointeja ja politiikkaa koskevat välineet. Riskejä voidaan lieventää suunnittelemalla teollisuusprosessit, toiminnot ja laitteet alusta asti kyberturvallisiksi. Tämä voi myös vähentää yrityksille ja yhteiskunnalle koituvia kustannuksia ja siten parantaa häiriönsietokykyä.