A javaslat korszerűsíti a CERT-EU meglévő jogi keretét, és figyelembe veszi az intézmények, szervek és ügynökségek elmúlt években bekövetkezett megváltozott és fokozott digitalizálását, valamint a kiberbiztonsági fenyegetések változó helyzetét. Mindkét fejlemény tovább erősödött a Covid19-válság kezdete óta, miközben a biztonsági események száma továbbra is nő, és a támadások egyre kifinomultabbak, számos forrásból származnak.

Ez a javaslat keretrendszert hoz létre az uniós intézmények, szervek és ügynökségek közös kiberbiztonsági szabályainak és intézkedéseinek biztosítására. Célja, hogy tovább javítsa valamennyi szervezet ellenálló képességét és biztonsági eseményekre való reagálási képességét. Összhangban áll a Bizottság azon prioritásaival, amelyek célja egyfelől Európának a digitális kor kihívásaira való felkészítése, másfelől a jövő kihívásaira felkészült, az emberek javát szolgáló gazdaság kiépítése. Emellett a biztonságos és reziliens közigazgatás biztosítása az egész társadalom digitális átalakulásának egyik sarokköve is.

2019 és 2021 között drámai mértékben megugrott az uniós intézményeket, szerveket és ügynökségeket érintő, fejlett, folyamatos fenyegetést (APT) jelentő szereplők által okozott jelentős biztonsági események száma. 2021 első felében a jelentős biztonsági események száma a 2020-ban mérttel azonos volt. Ezt tükrözi a CERT-EU által 2020-ban elemzett kriminalisztikai képek (az érintett rendszerek vagy eszközök tartalmának pillanatképei) száma is, amely 2019-hez képest megháromszorozódott, míg a jelentős biztonsági események száma 2018 óta több mint tízszeresére nőtt.

·Az uniós intézmények, szervek és ügynökségek informatikai infrastruktúrájának megsértésére irányuló kísérletek (ha sikeresek, biztonsági eseményként kezelik őket, a többi esetben pedig továbbra is felderített kísérletként kerülnek rögzítésre).

Emellett a kiberbiztonság területén az uniós intézmények, szervek és ügynökségek kiberbiztonsági helyzete és megközelítése közötti jelenlegi különbségek – amint azt az alábbi 3. szakasz kifejti – további akadályt jelentenek a nyitott, hatékony és független európai közigazgatás előtt. Közös megközelítés nélkül az uniós intézmények, szervek és ügynökségek kiberbiztonsági helyzete továbbra is eltérő irányokba fejlődne. Ez a jogalap ezért megfelelő, mivel a rendelet célja a kiberbiztonság közös jogi keretének létrehozása az uniós intézményeken, szerveken, hivatalokon és ügynökségeken belül.

Bár ezért valószínű, hogy számos uniós intézmény, szerv és ügynökség kevesebbet költ a kiberbiztonságra, mint amennyit kellene, ez a rendelet önmagában nem fogja az aktuális kiadások növekedését okozni. Még a rendelet nélkül is minden szervezetnek biztosítania kellene a kiberbiztonság megfelelő szintjét. A rendelet folytatja a CERT-EU irányítóbizottságában folytatott korábbi együttműködést, és formalizálja az információcsere azon szintjét, amely részben már ma is létezik. A pénzügyi kimutatásban foglaltaknak megfelelően a CERT-EU-nak további forrásokra lesz szüksége kibővített szerepének betöltéséhez, és ezeket a forrásokat a CERT-EU szolgáltatásait igénybe vevő uniós intézményektől, szervektől és ügynökségektől kell átcsoportosítani.

Az Intézményközi Kiberbiztonsági Testületnek (IICB) a CERT-EU segítségével felül kell vizsgálnia e rendelet működését, értékeléseket kell végeznie, és a megállapításait tartalmazó jelentést be kell nyújtania a Bizottságnak. A Bizottságnak biztosítania kell az Európai Parlament, a Tanács, az Európai Gazdasági és Szociális Bizottság és a Régiók Bizottsága részére történő rendszeres jelentéstételt.

(13)Számos kibertámadás olyan szélesebb körű kampányok részét képezi, amelyek az uniós intézmények, szervek és ügynökségek csoportjait, illetve az uniós intézményeket, szerveket és ügynökségeket is magukban foglaló érdekközösségeket célozzák. A proaktív felderítés, a biztonsági eseményekre való reagálás vagy az enyhítő intézkedések lehetővé tétele érdekében az uniós intézményeknek, szerveknek és ügynökségeknek értesíteniük kell a CERT-EU-t a jelentős kiberfenyegetésekről, a jelentős sebezhetőségekről és a jelentős biztonsági eseményekről, és meg kell osztaniuk azokat a megfelelő technikai részleteket, amelyek lehetővé teszik a más uniós intézményekben, szervekben és ügynökségekben előforduló, hasonló kiberfenyegetések, sebezhetőségek és biztonsági események észlelését vagy enyhítését, valamint az azokra való reagálást. Az irányelvben [a NIS 2-javaslatban] tervezettel megegyező megközelítést követve, amennyiben a szervezetek jelentős biztonsági eseményről szereznek tudomást, elő kell írni számukra, hogy 24 órán belül nyújtsanak be kezdeti értesítést a CERT-EU-nak. Az ilyen információcserének lehetővé kell tennie a CERT-EU számára, hogy továbbítsa az információkat más uniós intézményeknek, szerveknek és ügynökségeknek, valamint a megfelelő partnereknek, hogy segítsen megvédeni az uniós informatikai környezetet és az uniós partnerek informatikai környezetét a hasonló eseményekkel, fenyegetésekkel és sebezhetőségekkel szemben.

(11)2011 májusában az uniós intézmények és szervek főtitkárai úgy határoztak, hogy létrehozzák az uniós intézmények, szervek és ügynökségek számítógépes vészhelyzeteket elhárító csoportjának (CERT-EU) előkészítő csoportját, amelyet egy intézményközi irányítóbizottság felügyel. 2012 júliusában a főtitkárok megerősítették a gyakorlati intézkedéseket, és megállapodtak abban, hogy a CERT-EU-t megtartják állandó szervezetként annak érdekében, hogy továbbra is segítsen javítani az uniós intézmények, szervek és ügynökségek információtechnológiai biztonságának általános szintjét, a kiberbiztonság terén folytatott, látható intézményközi együttműködés példájaként. 2012 szeptemberében az Európai Bizottság intézményközi megbízatással rendelkező munkacsoportjaként létrehozták a CERT-EU-t. 2017 decemberében az uniós intézmények és szervek intézményközi megállapodást kötöttek a CERT-EU szervezetéről és működéséről. E megállapodást tovább kell fejleszteni e rendelet végrehajtásának támogatása érdekében.

(3)Az uniós intézmények, szervek és ügynökségek informatikai környezetében kölcsönös függőségek és integrált adatáramlások fordulnak elő, felhasználóik pedig szorosan együttműködnek. Ez az összekapcsoltság azt jelenti, hogy bármilyen zavarnak – akkor is, ha eredetileg csak egy uniós intézményre, szervre vagy ügynökségre korlátozódik – szélesebb körben lépcsőzetes hatásai lehetnek, ami messzemenő és hosszú távú negatív hatásokat eredményezhet a többire nézve. Emellett egyes intézmények, szervek és ügynökségek informatikai környezete összekapcsolódik a tagállamok informatikai környezetével, ami az egyik uniós szervezetnél felmerülő biztonsági esemény miatt kockázatot jelenthet a tagállamok informatikai környezeteinek kiberbiztonságára nézve, és fordítva.

(1)A digitális korban az információs és kommunikációs technológia a nyitott, hatékony és független uniós közigazgatás sarokköve. A fejlődő technológia és a digitális rendszerek fokozódó összetettsége és összeköttetése növeli a kiberbiztonsági kockázatokat, ami az uniós közigazgatást még sérülékenyebbé teszi a kiberfenyegetésekkel és biztonsági eseményekkel szemben, ami végeredményben veszélyezteti a közigazgatás ügymenet-folytonosságát és az adatai biztosítására irányuló képességét. Míg a felhőalapú szolgáltatások fokozott használata, az informatika mindenütt elterjedt használata, a nagyarányú digitalizáció, a távmunka, valamint a fejlődő technológia és konnektivitás manapság az uniós igazgatási szervek valamennyi tevékenységének alapvető jellemzői, a digitális rezilienciát még nem építették be kellőképpen munkájukba.

(15)A CERT-EU-nak támogatnia kell a kiberbiztonság egységesen magas szintjét célzó intézkedések végrehajtását az IICB-nek szóló útmutató dokumentumokra és ajánlásokra irányuló javaslatok vagy cselekvési felhívások közzététele révén. Az ilyen iránymutatásokat tartalmazó dokumentumokat és ajánlásokat az IICB-nek jóvá kell hagynia. Szükség esetén a CERT-EU-nak cselekvési felhívásokat kell közzétennie, amelyek ismertetik azokat a sürgős biztonsági intézkedéseket, amelyeket az uniós intézményeknek, szerveknek és ügynökségeknek meghatározott időn belül meg kell hozniuk.

(16)Az IICB-nek nyomon kell követnie az e rendeletnek való megfelelést, továbbá nyomon kell követnie az iránymutatásokat tartalmazó dokumentumokat és ajánlásokat, valamint a CERT-EU által kiadott cselekvési felhívásokat. Az IICB-t technikai kérdésekben az IICB által megfelelőnek tartott technikai tanácsadó csoportoknak kell támogatniuk, amelyeknek szükség esetén szorosan együtt kell működniük a CERT-EU-val, az uniós intézményekkel, szervekkel és ügynökségekkel, valamint más érdekelt felekkel. Szükség esetén az IICB-nek nem kötelező erejű figyelmeztetéseket kell kiadnia, és ellenőrzéseket kell javasolnia.

(17)A CERT-EU feladata, hogy hozzájáruljon valamennyi uniós intézmény, szerv és ügynökség informatikai környezetének biztonságához. A CERT-EU-nak az uniós intézmények, szervek és ügynökségek kijelölt koordinátoraként kell eljárnia, az irányelv [a NIS 2-javaslat] 6. cikkében említett, az európai biztonságirés-nyilvántartásban való összehangolt sebezhetőségfeltárás céljából.

(18)2020-ban a CERT-EU irányítóbizottsága új stratégiai célt tűzött ki a CERT-EU számára, miszerint átfogó szintű kibervédelmet kell biztosítania valamennyi uniós intézmény, szerv és ügynökség számára, megfelelő kiterjedéssel és mélységgel, valamint folyamatosan alkalmazkodva a jelenlegi vagy jövőbeli fenyegetésekhez, többek között a mobil eszközök, a felhőalapú környezet és a dolgok internete elleni támadásokhoz. A stratégiai cél magában foglalja továbbá a hálózatokat nyomon követő, széles spektrumú biztonsági műveleti központokat (SOC-ok), valamint a súlyos fenyegetések napi 24 órában történő nyomon követését. A nagyobb uniós intézmények, szervek és ügynökségek esetében a CERT-EU-nak támogatnia kell az informatikai biztonsági csoportjaikat, többek között a hét minden napján, napi 24 órában végzett nyomon követés révén. A kisebb és egyes közepes méretű uniós intézmények, szervek és ügynökségek számára a CERT-EU-nak valamennyi szolgáltatást biztosítania kell.

(19)A CERT-EU-nak az irányelvben [a NIS 2-javaslatban] meghatározott további, a számítógép-biztonsági eseményekre reagáló csoportok (CSIRT-ek) hálózatával való együttműködésre és információcserére irányuló szerepét is be kell töltenie. Emellett az (EU) 2017/1584 bizottsági ajánlással összhangban a CERT-EU-nak együtt kell működnie és koordinálnia kell a reagálást az érintett érdekelt felekkel. Annak érdekében, hogy Unió-szerte hozzá tudjon járulni a magas szintű kiberbiztonsághoz, a CERT-EU-nak meg kell osztania a biztonsági eseményekre vonatkozó információkat a nemzeti partnerekkel. A CERT-EU-nak más állami és magánpartnerekkel is együtt kell működnie, többek között a NATO-ban, az IICB előzetes jóváhagyásával.

(20)Az operatív kiberbiztonság támogatása során a CERT-EU-nak az (EU) 2019/881 európai parlamenti és tanácsi rendeletben előírt strukturált együttműködés révén fel kell használnia az Európai Uniós Kiberbiztonsági Ügynökség rendelkezésre álló szakértelmét. Adott esetben a két szervezet között külön megállapodásokat kell kialakítani az együttműködés gyakorlati megvalósításának meghatározása és a párhuzamos tevékenységek elkerülése érdekében. A CERT-EU-nak együtt kell működnie az Európai Uniós Kiberbiztonsági Ügynökséggel a fenyegetettségelemzés terén, és rendszeresen meg kell osztania az Ügynökséggel a fenyegetettségi helyzetjelentését.

(21)A 2021. június 23-i bizottsági ajánlással összhangban létrehozott közös kiberbiztonsági egység támogatása céljából a CERT-EU-nak együtt kell működnie és információkat kell megosztania az érdekelt felekkel az operatív együttműködés előmozdítása és annak lehetővé tétele érdekében, hogy a meglévő hálózatok teljes mértékben kiaknázhassák az Unió védelme terén bennük rejlő lehetőségeket.

(22)Az e rendelet alapján kezelt személyes adatok kezelését az (EU) 2018/1725 európai parlamenti és tanácsi rendeletnek megfelelően kell végezni.

(23)A CERT-EU és az uniós intézmények, szervek és ügynökségek általi információkezelésnek összhangban kell lennie a rendeletben [az információbiztonságról szóló rendeletjavaslatban] meghatározott szabályokkal. A biztonsági kérdésekkel kapcsolatos koordináció biztosítása érdekében a nemzeti biztonsági és hírszerző szolgálatok által a CERT-EU-val kezdeményezett vagy kért kapcsolattartásról indokolatlan késedelem nélkül tájékoztatni kell a Bizottság Biztonsági Igazgatóságát és az IICB elnökét.

(24)Mivel a CERT-EU szolgáltatásai és feladatai valamennyi uniós intézmény, szerv és ügynökség érdekét szolgálják, az informatikai kiadásokkal rendelkező valamennyi uniós intézménynek, szervnek és ügynökségnek méltányos részt kell vállalnia e szolgáltatások és feladatok finanszírozásából. Ezek a hozzájárulások nem érintik az uniós intézmények, szervek és ügynökségek költségvetési autonómiáját.

(25)Az IICB-nek a CERT-EU segítségével felül kell vizsgálnia és értékelnie kell e rendelet végrehajtását, és megállapításairól jelentést kell tennie a Bizottságnak. Erre a hozzájárulásra építve a Bizottságnak jelentést kell tennie az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának,

ELFOGADTA EZT A RENDELETET:

I. fejezet

ÁLTALÁNOS RENDELKEZÉSEK

1. cikk

Tárgy

Ez a rendelet meghatározza az alábbiakat:

a)az uniós intézmények, szervek és ügynökségek kötelezettségei a belső kiberbiztonságikockázat-kezelési, -irányítási és -ellenőrzési keretrendszerük létrehozása kapcsán;

b)az uniós intézmények, szervek és ügynökségek kötelezettségei a kiberbiztonsági kockázatok kezelése és jelentése kapcsán;

c)az uniós intézmények, szervek és ügynökségek kiberbiztonsági központjának (CERT-EU) szervezetére és működésére, valamint az Intézményközi Kiberbiztonsági Testület szervezetére és működésére vonatkozó szabályok.

2. cikk

Hatály

Ez a rendelet a kiberbiztonsági kockázatok valamennyi uniós intézmény, szerv és ügynökség általi kezelésére, irányítására és ellenőrzésére, valamint a CERT-EU és az Intézményközi Kiberbiztonsági Testület szervezetére és működésére alkalmazandó.