ZAJEDNIČKA KOMUNIKACIJA EUROPSKOM PARLAMENTU I VIJEĆU

Izvješće o provedbi Strategije EU-a za kibersigurnost za digitalno desetljeće

I.Kiberotpornost, operativni kapaciteti i otvorenost važniji su nego ikad prije

Kibersigurnost je neophodna za uvođenje pametnije i zelenije tehnologije u svijetu nakon pandemije. Općenito je neophodna za sigurnost EU-a i stup je sigurnosne unije. Za društveni, politički i gospodarski razvoj potrebni su tehnološka suverenost te globalan, otvoren i siguran kiberprostor utemeljen na vladavini prava i poštovanju ljudskih prava i temeljnih sloboda. To je bila glavna polazišna točka Zajedničke komunikacije Komisije i Visokog predstavnika za vanjske poslove i sigurnosnu politiku o strategiji EU-a za kibersigurnost za digitalno desetljeće, koja je donesena 16. prosinca 2020. Svi kritični subjekti potencijalni su subjekti kibernapada. Razvoj događaja u posljednjih šest mjeseci potvrdio je da je usmjerenost strategije na jačanje regulatornih reformi, na ulaganja i na zajednički operativni odgovor bila opravdana.

Osobito su nedavni kibernapadi ukazali na to da su ucjenjivački softver i operacije kiberšpijunaže sve rasprostranjeniji te da predstavljaju sve veći rizik za sve gospodarske sektore i društvo u cjelini. Opseg incidenata bio je izniman: stotine tisuća poslužitelja bilo je zahvaćeno napadima na Microsoft Exchange; napad na softver Orion poduzeća SolarWinds mogao je imati posljedice na 18 000 organizacija; u napadu ucjenjivačkim softverom na irsku zdravstvenu službu ukradeni su povjerljivi podaci o stotinama pacijenata i poremećeno je pružanje zdravstvenih usluga; zbog napada na naplatni sustav poduzeća Colonial Pipeline došlo je do izvanredne situacije u opskrbi goriva i masovne krađe podataka te prekida poslovanja najvećeg svjetskog dobavljača govedine. Iako puni opseg štete dosad nije utvrđen, svaki incident upozorava na moguće dalekosežne posljedice zlonamjernog iskorištavanja ranjivosti proizvoda, usluga, sustava i mreža informacijskih i komunikacijskih tehnologija. Može se očekivati da će takvi kibernapadi biti sve ozbiljniji i češći te da će ugroziti našu sigurnost.

Stoga je ključno da Europska unija ubrza napredak u svim područjima, tj. zakonodavnom, operativnom, investicijskom i diplomatskom, kako je utvrđeno u strategiji. Prijedloge direktive o mjerama za visoku zajedničku razinu kibersigurnosti u Uniji („Direktiva NIS2”), direktive o otpornosti kritičnih subjekata te uredbe i direktive o digitalnoj operativnoj otpornosti trebalo bi donijeti što prije. U tom je kontekstu nužno primijeniti ambiciozan pristup, prvenstveno kad je riječ o lancima opskrbe, s obzirom na to da su ranjivosti iz nedavnih kibernapada povezane s dobavljačima softvera, te poduzeti mjere kojima se jamči otpornost javnih uprava i brzo obavješćivanje o incidentima. Potreba za uspostavom mreže centara za sigurnosne operacije (ili „SOC-ovi”) za rano otkrivanje znakova kibernapada postala je izraženija nego ikad prije, kao i potreba za pružanjem vjerodostojnog, učinkovitog i zajedničkog odgovora EU-a, među ostalim na operativnoj razini, na velike incidente preko zajedničke jedinice za kibersigurnost. Zbog sve većeg broja kibernapada koje provode državni akteri ili akteri koje financira država odgovorno ponašanje država mora se nastaviti promicati i u Ujedinjenim narodima i putem dijaloga o kibersigurnosti i strukturirane suradnje s regionalnim organizacijama, uključujući Afričku uniju, Regionalni forum ASEAN-a, Organizaciju američkih država (OAS) i Organizaciju za europsku sigurnost i suradnju (OESS), a usto treba provoditi učinkovite diplomatske aktivnosti za sprečavanje i suzbijanje zlonamjernog ponašanja u kiberprostoru, odvraćanje od njega i odgovaranje na njega. Od posebne važnosti bit će suradnja s trećim zemljama koje dijele iste stavove i prioriteti transatlantskog plana, a osobito bi trebalo dodatno produbiti suradnju EU-a i SAD-a u pogledu posebnih aspekata kibersigurnosti, među ostalim u pogledu razmjene informacija i borbe protiv ucjenjivačkog softvera.

II.Pregled prvih šest mjeseci provedbe

Provedba niza strateških mjera već je u tijeku.

II.1. Otpornost, tehnološki suverenitet i vodstvo

Lanci opskrbe i kritična infrastruktura u cijelom svijetu, uključujući bolnice koje se bore protiv pandemije bolesti COVID-19, sad su neprestano izloženi riziku od kibernapada. Komisija podupire suzakonodavce kako bi se što brže donijela predložena reforma Direktive NIS, kojom će se prvenstveno proširiti opseg u kojem je obuhvaćen zdravstveni sektor, uključujući istraživačke laboratorije i proizvodnju ključnih medicinskih proizvoda i lijekova, te nove djelatnosti energetskog sektora kao što su proizvodnja vodika, centralizirano grijanje, proizvodnja električne energije i središnje držanje zaliha nafte.

Uredba o osnivanju stručnog centra za kibersigurnost i mreže nacionalnih koordinacijskih centara donesena je 20. svibnja 2021. Time će se objediniti resursi EU-a, država članica i industrije kako bi se poboljšali i ojačali tehnološki i industrijski kapaciteti za kibersigurnost, čime će se poboljšati otvorena strateška autonomija EU-a i stvoriti mogućnost za objedinjavanje dijela aktivnosti povezanih s kibersigurnosti koje se financiraju iz programa Obzor Europa, programa Digitalna Europa i Mehanizma za oporavak, u okviru kojih će se u sljedećih šest godina ukupno izdvojiti do 4,5 milijardi EUR. Na taj način poduprijet nastojanja da se do 2023. razvije kibersigurnosni štit EU-a za rano otkrivanje kibernapada, koji se sastoji od mreže centara za sigurnosne operacije, a koji bi mogli biti javni ili privatni i koji će se služiti alatima koji se temelje na umjetnoj inteligenciji. Nekoliko država članica uključilo je razvoj takvih nacionalnih centara u svoje planove za oporavak i otpornost. Komisija će ta nastojanja upotpuniti dodjelom sredstava iz programa Digitalna Europa te će poduprijeti njihovo postupno povezivanje. Financijskim programima poduprijet će se i inicijativa EuroQCI za izgradnju sigurne kvantne komunikacijske infrastrukture koja obuhvaća cijeli EU, uključujući njegova prekomorska područja, tako što će se primjenjivati najbolja kombinacija zemaljskih i svemirskih tehnologija te posebna proračunska linija za potporu postizanju kiberotpornosti u zdravstvenom sektoru.

Održavanje kibersigurnosti mreža 5G trajan je proces koji će pratiti njihovu postupnu implementaciju i provedbu paketa instrumenata EU-a za 5G. Većina država članica već je uspostavila okvire za uvođenje odgovarajućih ograničenja za dobavljače tehnologije 5G ili će to uskoro učiniti. Prenošenjem Europskog zakonika elektroničkih komunikacija u nacionalna zakonodavstva postrožuju se zahtjevi za operatere pokretnih mreža, a Agencija EU-a za kibersigurnost ENISA priprema prijedlog programa EU-a za kibersigurnosnu certifikaciju mreža 5G. S obzirom na nove trendove i kretanja u opskrbnom lancu za tehnologiju 5G, tijela država članica odlučila su u okviru paketa instrumenata EU-a pokrenuti detaljnu analizu utjecaja otvorenih, raščlanjenih i interoperabilnih mrežnih tehnoloških rješenja („Open RAN”) na sigurnost. Rezultati tog rada dodatno će pridonijeti usklađenom pristupu EU-a u pogledu sigurnosti mreža 5G.

Potrebno je poduzeti dodatne mjere, posebno u okviru akcijskog plana EU-a za digitalno obrazovanje, kako bi se riješio problem velikog nedostatka vještina s obzirom na to da se predviđa da će do 2022. u području kibersigurnosti biti gotovo dva milijuna nepopunjenih radnih mjesta, a od toga samo u Europi 350 000, te pitanje izrazito male zastupljenosti žena u tom sektoru u Europi s obzirom na to da žene čine samo 11 % globalne radne snage u tom sektoru, a u Europi čak i manje, tj. 7 %. Ostale inicijative politike koje su u tijeku uključuju pripremne radnje za pokretanje budućih inicijativa za sigurnost interneta stvari i, u području internetskih standarda, razvoj neprofitne službe za razlučivanje naziva domena („DNS4EU”).

II.2. Izgradnja operativnih kapaciteta za sprečavanje, odvraćanje i odgovor

S obzirom na to da su mreže i informacijski sustavi sve češće mete kriminalnih napada koje organiziraju ili financiraju države te na sve veće oslanjanje na baze podataka osjetljivih informacija, EU zahtijeva da se uspostavi bolja suradnja i povezanost među kiberzajednicama. One moraju dosljedno odgovoriti na civilne, kaznene, diplomatske i obrambene aspekte kibernapada velikih razmjera koje su nedavno doživjeli mnogi osjetljivi gospodarski sektori. Stoga sve zajednice moraju povećati svoja nastojanja kako bi se dovršila četiri koraka navedena u Preporuci Komisije za izgradnju zajedničke jedinice za kibersigurnost, koja je donesena istodobno s ovim izvješćem, kao mehanizma za daljnju koordinaciju i uklanjanje nedostataka u odgovoru EU-a na kiberprijetnje. U borbi protiv kiberkriminaliteta postignut je politički dogovor o privremenoj uredbi protiv seksualnog zlostavljanja djece na internetu, koja će biti donesena uskoro, a nova strategija Komisije za suzbijanje organiziranog kriminala usmjerena je na opremanje tijela kaznenog progona digitalnim alatima koji su im potrebni. Komisija je ujedno u veljači 2020. donijela akcijski plan o sinergijama između civilne, obrambene i svemirske industrije, u kojem se utvrđuje novi vodeći projekt za uspostavu EU-ova sustava za sigurnu globalnu povezivost s pomoću satelitske komunikacijske mreže. Cilj mu je „omogućit dostupnost veza visoke brzine svima u Europi te osigurati otporan sustav povezivosti zahvaljujući kojem će Europa ostati povezana što god da se dogodi”.

Iz međunarodne perspektive, u skladu s ambicijama postavljenima u okviru Strateškog kompasa, visoki predstavnik trenutačno priprema preispitivanje Okvira za politiku kiberobrane koji će se predstaviti državama članicama u drugoj polovini 2021. Visoki predstavnik radio je na poboljšanju sposobnosti EU-a za sprečavanje i suzbijanje zlonamjernih kiberaktivnosti, odvraćanje od njih i odgovaranje na njih, među ostalim jačanjem međunarodne suradnje. Europska služba za vanjsko djelovanje (ESVD) organizirala je 17. svibnja 2021. u suradnji s portugalskim predsjedništvom i Institutom Europske unije za sigurnosne studije (EUISS) raspravu o scenarijima s državama članicama EU-a i međunarodnim partnerima kako bi se poboljšalo uzajamno razumijevanje pojedinačnih diplomatskih pristupa sprečavanju i suzbijanju zlonamjernih kiberaktivnosti, odvraćanju od njih i odgovaranju na njih te kako bi se utvrdile mogućnosti za daljnje jačanje međunarodne suradnje u tu svrhu. Kako bi se dodatno ojačali alati EU-a za kiberdiplomaciju, ESVD prikuplja stečena iskustva i postoji mogućnost da će preispitati smjernice za provedbu okvira za zajednički diplomatski odgovor EU-a na zlonamjerne kiberaktivnosti.

Kako je najavljeno u Strategiji EU-a za kibersigurnost za digitalno desetljeće, Komisija pokreće studiju za razvoj alata za informiranje usmjerenih na poboljšanje pripravnosti i otpornosti poduzeća iz EU-a na krađu intelektualnog vlasništva koju omogućuje kibertehnologija. Komisija je usto pojačala izvršne mjere povezane s Direktivom 2013/40/EU o napadima na informacijske sustave tako što je u lipnju 2021. pokrenula dodatne postupke zbog povrede protiv nekoliko država članica. Prema potrebi će razmotriti poduzimanje daljnjih mjera. Neophodno će biti i poboljšati vještine radne snage EU-a u području kibersigurnosti, a stručni centar za kibersigurnost u tom će pogledu provesti ključne mjere radi poboljšanja znanja i kapaciteta te poticanja razvoja interdisciplinarnih vještina u području kibersigurnosti.

II.3. Unapređenje globalnog i otvorenog kiberprostora

Prijetnje dodatno pogoršavaju geopolitičke napetosti zbog globalnog i otvorenog interneta te zbog tehnologija u cijelom lancu opskrbe. Ograničenja interneta i na internetu, sve veći broj zlonamjernih kiberaktivnosti i onih koje utječu na sigurnost i integritet proizvoda i usluga informacijskih i komunikacijskih tehnologija ugrožavaju globalni i otvoreni kiberprostor te vladavinu prava, ljudska prava, temeljnu slobodu i demokratske vrijednosti. Visoki predstavnik stoga zajedno s državama članicama radi na unapređenju odgovornog ponašanja država u kiberprostoru, prvenstveno uspostavom Akcijskog programa za odgovornije ponašanje država na razini Ujedinjenih naroda, zajedno s 53 druge organizacije koje ga podupiru na temelju preporuke iz izvješća o suglasnosti od 12. ožujka 2021. otvorene radne skupine Ujedinjenih naroda za razvoj u području informacijske tehnologije i telekomunikacija u kontekstu međunarodne sigurnosti. EU radi na jačanju i proširenju odnosa s trećim zemljama, međunarodnim i regionalnim organizacijama te zajednicom koja uključuje više dionika putem dijaloga o kibersigurnosti, kako je utvrđeno u strategiji, kroz uspostavu mreže EU-a za kiberdiplomaciju. Nadalje, osniva se Odbor za izgradnju kiberkapaciteta EU-a, čime se institucijama, tijelima i agencijama EU-a omogućuje bolja koordinacija i suradnja u pogledu aktivnosti EU-a za izgradnju vanjskih kiberkapaciteta.