YHTEINEN TIEDONANTO EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE

Kertomus EU:n digitaalisen vuosikymmenen kyberturvallisuusstrategian täytäntöönpanosta

I.Kyberuhkien sietokyky, operatiiviset valmiudet ja avoimuus tärkeämpiä kuin koskaan

Kyberturvallisuus on välttämätön edellytys älykkäämmän ja vihreämmän teknologian käyttöönotolle pandemian jälkeisessä maailmassa. Se on yleisesti ottaen välttämätöntä EU:n turvallisuuden kannalta, ja se on yksi turvallisuusunionin tukipilareista. Sosiaalinen, poliittinen ja taloudellinen kehitys edellyttää teknologista riippumattomuutta sekä globaalia, avointa ja turvallista kybertoimintaympäristöä, joka perustuu oikeusvaltioperiaatteeseen sekä ihmisoikeuksien ja perusvapauksien kunnioittamiseen. Tämä oli keskeinen lähtökohta 16. joulukuuta 2020 annetussa komission ja unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan yhteisessä tiedonannossa ”EU:n kyberturvallisuusstrategia digitaaliselle vuosikymmenelle”. Kaikki kriittiset yksiköt ovat mahdollisia kyberhyökkäysten kohteita. Se, että strategiassa on keskitytty sääntelyuudistusten tehostamiseen, investointeihin ja yhteisiin operatiivisiin toimiin, on osoittautunut oikeaksi valinnaksi viimeisten kuuden kuukauden aikana tapahtuneen kehityksen valossa.

Viimeaikaiset kyberhyökkäykset ovat osoittaneet, että erityisesti kiristyshaittaohjelmat ja kybervakoiluoperaatiot yleistyvät kaiken aikaa ja niiden riski kasvaa kaikilla talouden aloilla ja koko yhteiskunnassa. Tapausten mittakaava on ollut poikkeuksellinen: Microsoft Exchange -järjestelmään kohdistuneet hyökkäykset vaikuttivat satoihin tuhansiin palvelimiin; SolarWinds Orion -operaatio saattaa vaikuttaa 18 000 organisaatioon; Irlannin terveydenhuoltojärjestelmään kohdistuneessa kiristysohjelmahyökkäyksessä varastettiin satojen potilaiden arkaluonteiset tiedot ja terveyspalvelut häiriintyivät; Colonial Pipelinen laskutusjärjestelmään kohdistunut kyberhyökkäys johti polttoainehätätilaan ja laajamittaiseen tietovarkauteen; ja maailman suurimman naudanlihantoimittajan toiminta keskeytyi. Vaikka vahinkojen koko laajuus on edelleen epäselvä, jokainen tapaus tuo esiin tieto- ja viestintätekniikan tuotteiden, palvelujen, järjestelmien ja verkkojen haavoittuvuuksien pahantahtoisen hyväksikäytön mahdollisesti kauaskantoiset seuraukset. Tällaisten kyberhyökkäysten voidaan odottaa yleistyvän ja niiden vaikutusten kasvavan ja heikentävän turvallisuuttamme.

Sen vuoksi on olennaisen tärkeää, että Euroopan unioni vauhdittaa edistymistä kaikilla rintamilla – lainsäädännöllisellä, operatiivisella, investointeihin liittyvällä ja diplomaattisella – kuten strategiassa esitetään. Ehdotukset direktiiviksi toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa (NIS2-direktiivi), direktiiviksi kriittisten yksiköiden häiriönsietokyvystä sekä asetukseksi ja direktiiviksi digitaalisesta häiriönsietokyvystä olisi hyväksyttävä mahdollisimman pian. Tässä yhteydessä on olennaisen tärkeää noudattaa kunnianhimoista lähestymistapaa erityisesti toimitusketjujen osalta, kun otetaan huomioon, miten viimeaikaisten kyberhyökkäysten haavoittuvuudet on jäljitetty ohjelmistomyyjiin, ja toteutettava toimenpiteitä, joilla varmistetaan julkishallintojen häiriönsietokyky ja poikkeamien nopea ilmoittaminen. Tarve perustaa tietoturvan valvomopalvelujen verkosto kyberhyökkäysten signaalien varhaista havaitsemista varten on käynyt entistä polttavammaksi, samoin kuin tarve kehittää yhteisen kyberturvallisuusyksikön kautta uskottavia, tehokkaita ja yhteisiä EU:n vastatoimia merkittäviin kyberturvallisuuspoikkeamiin, myös operatiivisella tasolla. Kun otetaan huomioon valtion tai valtion tukemien toimijoiden tekemien kyberhyökkäysten lisääntyminen, valtion vastuullista käyttäytymistä on edelleen edistettävä Yhdistyneissä Kansakunnissa sekä kybervuoropuheluilla ja jäsennellyllä tietojenvaihdolla alueellisten järjestöjen, kuten Afrikan unionin, ASEANin alueellisen foorumin, Amerikan valtioiden järjestön (OAS) ja Euroopan turvallisuus- ja yhteistyöjärjestön (Etyj) kanssa, sekä tehokkailla diplomaattisilla toimilla pahantahtoisen käyttäytymisen torjumiseksi, hillitsemiseksi ja estämiseksi ja siihen vastaamiseksi kybertoimintaympäristössä. Erityisen tärkeää on yhteistyö saman mielisten kolmansien maiden kanssa ja transatlanttisen toimintasuunnitelman painopisteet; erityisesti mahdollisuuksia EU:n ja Yhdysvaltojen väliseen yhteistyöhön kyberturvallisuuteen liittyvissä erityiskysymyksissä, mukaan lukien tietojenvaihto ja kiristyshaittaohjelmien torjunta, olisi tutkittava tarkemmin.

II.Katsaus ensimmäisiin kuuteen täytäntöönpanokuukauteen

Monet strategiset toimet ovat jo edenneet pitkälle.

II.1 Häiriönsietokyky, teknologinen riippumattomuus ja johtajuus

Toimitusketjut ja kriittinen infrastruktuuri, mukaan lukien covid-19-pandemian kanssa kamppailevat sairaalat, ovat nykyisin jatkuvasti alttiina kyberhyökkäyksille kaikkialla maailmassa. Komissio tukee lainsäätäjiä sen varmistamisessa, että verkko- ja tietoturvadirektiivin ehdotettu uudistus hyväksytään nopeasti. Uudistuksella laajennetaan erityisesti direktiivin soveltamisalaan kuuluvia aloja terveydenhuollossa, mukaan lukien tutkimuslaboratoriot ja kriittisten lääkinnällisten laitteiden ja lääkkeiden valmistus, sekä energia-alan uusissa toiminnoissa, kuten vedyn tuotanto, kaukolämmitys, sähköntuotanto ja keskitetty öljyn varastointi.

Asetus kyberturvallisuuden osaamiskeskuksen ja kansallisten koordinointikeskusten verkoston perustamisesta hyväksyttiin 20. toukokuuta 2021. Siinä yhdistetään EU:n, jäsenvaltioiden ja teollisuuden resursseja kyberturvallisuusalan teknologisten ja teollisten valmiuksien parantamiseksi ja vahvistamiseksi ja vahvistetaan EU:n avointa strategista riippumattomuutta. Se tarjoaa myös mahdollisuuden yhdistää osa Horisontti Eurooppa -puiteohjelmasta, Digitaalinen Eurooppa -ohjelmasta ja elpymis- ja palautumistukivälineestä rahoitetuista kyberturvallisuuteen liittyvistä toimista – rahoitusvirrat ovat yhteensä 4,5 miljardia euroa seuraavien kuuden vuoden aikana. Tämä tukee EU:n kyberturvallisuusjärjestelyn (Cyber Shield) kehittämistä vuoteen 2023 mennessä kyberhyökkäysten varhaista havaitsemista varten. Järjestely koostuu tietoturvan valvomopalvelujen verkostosta. Nämä palvelut voivat olla julkisia tai yksityisiä, ja niissä hyödynnetään tekoälyyn perustuvia välineitä. Useat jäsenvaltiot ovat sisällyttäneet tällaisten kansallisten keskusten kehittämisen elpymis- ja palautumissuunnitelmiinsa. Komissio täydentää näitä toimia myöntämällä varoja Digitaalinen Eurooppa -ohjelmasta ja tukee keskusten vaiheittaista liittämistä verkostoon. Rahoitusohjelmilla tuetaan myös EuroQCI-aloitetta sellaisen turvallisen kvanttiviestintäinfrastruktuurin rakentamiseksi, joka kattaa koko EU:n ja sen merentakaiset alueet ja jossa hyödynnetään parasta maassa ja avaruudessa sijaitsevien teknologioiden yhdistelmää. Myös kyberuhkien sietokykyä terveydenhuoltoalalla tuetaan erityisestä budjettikohdasta.

5G-verkon kyberturvallisuuden varmistaminen on jatkuva prosessi, joka täydentää 5G:n asteittaista käyttöönottoa ja EU:n 5G-välineistön täytäntöönpanoa. Useimmissa jäsenvaltioissa on jo – tai on pian – käytössä puitteet asianmukaisten rajoitusten asettamiseksi 5G-toimittajille. Matkaviestinverkko-operaattoreita koskevia vaatimuksia tiukennetaan saattamalla sähköisen viestinnän säännöstö osaksi jäsenvaltioiden lainsäädäntöä, ja EU:n kyberturvallisuusvirasto ENISA valmistelee ehdotusta 5G-verkkoja koskevaksi EU:n kyberturvallisuuden sertifiointijärjestelmäksi. 5G-toimitusketjun uusia suuntauksia ja kehitystä silmällä pitäen jäsenvaltioiden viranomaiset ovat päättäneet käynnistää EU:n välineistön puitteissa perusteellisen analyysin avointen, eriteltyjen ja yhteentoimivien verkkoteknologiaratkaisujen (Open RAN) turvallisuusvaikutuksista. Tämän työn tulokset tukevat edelleen EU:n yhteistä lähestymistapaa 5G-verkkojen turvallisuuteen.

Lisätoimia olisi toteutettava erityisesti EU:n digitaalisen koulutuksen toimintasuunnitelman kautta, jotta voidaan puuttua valtavaan osaamisvajeeseen, jonka ennustetaan kasvavan maailmanlaajuisesti lähes kahteen miljoonaan täyttämättömään kyberturvallisuusalan työpaikkaan vuoteen 2022 mennessä ja 350 000 työpaikkaan pelkästään Euroopassa. Myös naisten vakavaan aliedustukseen on puututtava, sillä naisten osuus kyberturvallisuusalan työvoimasta on maailmanlaajuisesta vain 11 prosenttia ja Euroopassa vieläkin vähemmän – 7 prosenttia. Muita käynnissä olevia toimintapoliittisia aloitteita ovat esineiden internetin turvallisuutta koskevien tulevien aloitteiden valmistelutyö ja internetin standardien osalta voittoa tavoittelemattoman verkkotunnusten selvityspalvelun (’DNS4EU’) kehittäminen.

II.2 Operatiivisten valmiuksien kehittäminen uhkien ehkäisemiseksi ja torjumiseksi ja niihin vastaamiseksi

Koska verkkoihin ja tietojärjestelmiin kohdistuvat valtioiden tekemät tai tukemat tai rikolliset hyökkäykset lisääntyvät ja riippuvuus arkaluontoisia tietoja sisältävistä tietokannoista kasvaa kaiken aikaa, EU tarvitsee kyberyhteisöjen tiiviimpää yhteenliittämistä. Näiden yhteisöjen on vastattava johdonmukaisesti niiden laajamittaisten kyberhyökkäysten siviili-, rikos-, diplomatia- ja puolustusnäkökohtiin, joita monilla arkaluonteisilla talouden aloilla on viime aikoina koettu. Kaikkien yhteisöjen on sen vuoksi pyrittävä saattamaan päätökseen neljä vaihetta, jotka esitetään samaan aikaan tämän kertomuksen kanssa annetussa komission suosituksessa yhteisen kyberturvallisuusyksikön perustamisesta. Ne muodostavat mekanismin, jolla lisätään koordinointia ja korjataan puutteita EU:n kyberuhkien vastaisissa toimissa. Kyberrikollisuuden torjunnan yhteydessä päästiin poliittiseen yhteisymmärrykseen verkossa tapahtuvan lasten seksuaalisen hyväksikäytön torjuntaa koskevasta väliaikaisesta asetuksesta, joka hyväksytään piakkoin. Komission uudessa järjestäytynyttä rikollisuutta koskevassa strategiassa puolestaan keskitytään tarpeeseen saada lainvalvontaviranomaisten käyttöön niiden tarvitsemat digitaaliset välineet. Komissio hyväksyi helmikuussa 2020 myös siviili-, puolustus- ja avaruusteollisuuden välisiä synergioita koskevan toimintasuunnitelman. Siinä määritellään uusi lippulaivahanke, jonka tavoitteena on luoda EU:n satelliittipohjainen maailmanlaajuinen turvattu yhteysjärjestelmä. Sen tarkoituksena on ”mahdollistaa Euroopassa nopeiden yhteyksien käyttö jokaiselle ja tarjota häiriönsietokykyinen yhteysjärjestelmä, jonka avulla yhteydet toimivat Euroopassa missä tahansa tilanteessa”.

Kansainvälisestä näkökulmasta ja strategisessa kompassissa asetettujen tavoitteiden mukaisesti korkea edustaja valmistelee parhaillaan kyberpuolustuspolitiikan kehyksen tarkistusta, joka on määrä esittää jäsenvaltioille vuoden 2021 jälkipuoliskolla. Korkea edustaja on pyrkinyt parantamaan EU:n valmiuksia torjua, hillitä ja estää haitallisia kybertoimia ja vastata niihin muun muassa vahvistamalla kansainvälistä yhteistyötä. Euroopan ulkosuhdehallinto (EUH) järjesti 17. toukokuuta 2021 yhteistyössä puheenjohtajavaltio Portugalin ja Euroopan unionin turvallisuusalan tutkimuslaitoksen (EUTT) kanssa skenaariopohjaisen keskustelun EU:n jäsenvaltioiden ja kansainvälisten kumppaneiden kanssa keskinäisen ymmärryksen parantamiseksi diplomaattisista lähestymistavoista, joilla pyritään torjumaan, hillitsemään ja estämään haitallisia kybertoimia ja vastaamaan niihin. Samalla pyrittiin määrittämään mahdollisuuksia tähän liittyvän kansainvälisen yhteistyön tiivistämiseksi edelleen. EU:n kyberdiplomatian välineistön vahvistamiseksi edelleen EUH kerää saatuja kokemuksia ja voi tarkistaa EU:n yhteistä diplomaattista vastausta haitallisiin kybertoimiin koskevien puitteiden täytäntöönpano-ohjeita.

Kuten EU:n kyberturvallisuusstrategiassa digitaaliselle vuosikymmenelle ilmoitettiin, komissio käynnistää tutkimuksen kehittääkseen tietoisuuden lisäämisen välineitä, joiden tarkoituksena on parantaa EU:n yritysten valmiutta ja kykyä torjua teollis- ja tekijänoikeuksen kybervarkauksia. Komissio tehosti myös tietojärjestelmiin kohdistuvista hyökkäyksistä annettuun direktiiviin 2013/40/EU liittyviä täytäntöönpanotoimia käynnistämällä kesäkuussa 2021 uusia rikkomusmenettelyjä useita jäsenvaltioita vastaan. Komissio harkitsee tarvittaessa lisätoimia. Keskeistä on myös parantaa kyberturvallisuuteen liittyvän osaamisen saatavuutta EU:n työvoimassa; kyberturvallisuuden osaamiskeskus toteuttaa tältä osin keskeisiä toimia, joilla pyritään parantamaan tietämystä ja valmiuksia ja kannustamaan monialaisten taitojen kehittämiseen kyberturvallisuuden alalla.

II.3 Maailmanlaajuisen ja avoimen kybertoimintaympäristön edistäminen

Uhkia pahentavat geopoliittiset jännitteet, joita liittyy maailmanlaajuiseen ja avoimeen internetiin sekä teknologioihin koko toimitusketjussa. Internetiin ja sen käyttöön kohdistuvat rajoitukset, pahantahtoisten kybertoimien lisääntyminen ja tieto- ja viestintätekniikan tuotteiden ja palvelujen turvallisuuteen ja eheyteen vaikuttavat toimet muodostavat uhan maailmanlaajuiselle ja avoimelle kybertoimintaympäristölle sekä oikeusvaltiolle, ihmisoikeuksille, perusvapauksille ja demokraattisille arvoille. Korkea edustaja pyrkii sen vuoksi yhdessä jäsenvaltioiden kanssa edistämään valtion vastuullista käyttäytymistä kybertoimintaympäristössä, erityisesti perustamalla toimintaohjelman valtion vastuullisen käyttäytymisen edistämiseksi Yhdistyneiden kansakuntien tasolla yhdessä 53 muun tukijan kanssa. Ohjelma perustuu tieto- ja televiestintätekniikan kehitystä kansainvälisen turvallisuuden yhteydessä käsittelevän Yhdistyneiden kansakuntien avoimen työryhmän 12. maaliskuuta 2021 julkaiseman konsensusraportin suositukseen. EU pyrkii vahvistamaan ja laajentamaan suhteita kolmansiin maihin, kansainvälisiin ja alueellisiin järjestöihin sekä monisidosryhmäiseen yhteisöön strategiassa esitetyn kybervuoropuhelun avulla perustamalla EU:n kyberdiplomatian verkoston. Lisäksi ollaan perustamassa EU:n toimielinten välistä kybervalmiuksien kehittämiskomiteaa, jonka avulla EU:n toimielimet, elimet ja virastot voivat paremmin koordinoida toimiaan ja tehdä yhteistyötä EU:n ulkoisten kybervalmiuksien kehittämistoimissa.