Az uniós szintű együttműködés ezért mind a kisebb léptékű, de elterjedési kockázattal rendelkező kiberbiztonsági incidensek, mind a több tagállamot érintő nagyszabású kibertámadások kezeléséhez elengedhetetlen. Az Európai Uniónak a kiberbiztonsági szempontokat is bele kell foglalnia a meglévő válságkezelési mechanizmusaiba. Emellett gondoskodnia kell a hatékony együttműködésről és a gyors információmegosztási mechanizmusokról az ágazatok és a tagállamok között, hogy az ilyen incidensek megfelelően kezelhetők és izolálhatók legyenek. Az ilyen mechanizmusoknak koherens módon kell működniük, ami hozzájárul a terrorizmus, a szervezett bűnözés és a kiberbűnözés elleni küzdelem hatékonyságához. Az Európai Unió így nemzetközi partnereivel is hatékonyabban működhet együtt a globális fenyegetések és incidensek megfelelő kezelése terén.

Az EU kiberbiztonsági stratégiája – különösen a készülő kiberbiztonsági irányelvben – megnyitja az utat a tagállamok közötti uniós szintű együttműködés továbbfejlesztése előtt. Az irányelv gyors és hatékony végrehajtása kulcsfontosságú lesz, tekintve a gazdasági és társadalmi élet növekvő digitalizálódását (a felhőalapú megoldásokat, a „dolgok internetét”, valamint a gépek közötti kommunikációt is figyelembe véve), a határok közötti növekvő összekapcsoltságot, továbbá a számítógépes fenyegetések gyorsan változó világát. Ebben az összefüggésben az Európai Uniónak képesnek kell lennie felkészülni a nagyszabású számítógépes krízishelyzetekre, többek között a több tagállam kritikus információs rendszerei ellen intézett párhuzamos támadásokat is beleértve.

A Bizottság emellett az EU kiberbiztonsági ipari kapacitásaival is foglalkozik. Igaz ugyan, hogy a digitális technológiák teljes értékláncát nem Európában kezelik, ugyanakkor bizonyos alapvető kapacitások terén legalább a megőrzésre és a fejlesztésre szükség van. A legmagasabb szintű kiberbiztonságot kínáló termékek és szolgáltatások biztosítása lehetőséget jelent az európai kiberbiztonsági ágazatnak, ami jelentős versenyelőnyt biztosíthat a számára. A globális kiberbiztonsági piac várhatóan az ikt-ágazat egyik leggyorsabban növekvő szegmense lesz. Az EU vezető szerepét úgy lehet biztosítani, ha az adatok – a személyes adatokat is beleértve – biztonsága terén erős tradíciókat ápolunk, továbbá hatékonyan reagálunk az incidensekre. Ez erős érvnek bizonyulhat az uniós beruházások mellett, így elősegítheti a digitális egységes piac nagyszabású céljainak teljesítését a növekedés és a munkahelyteremtés terén.

A pozitív fejlemények ellenére az EU továbbra is sérülékeny a kiberbiztonsági incidensekkel szemben. Ez alááshatja egyrészről a digitális egységes piacot, másrészről a gazdasági és társadalmi élet egészét. A hatások túlmutathatnak a gazdaságon. Az úgynevezett hibrid fenyegetések – a kibertámadásokat más tevékenységekkel koordinált módon felhasználva – akár országok vagy politikai intézmények destabilizációjához is vezethetnek.

Jelenleg az Európai Unió 2013-as kiberbiztonsági stratégiája (uniós kiberbiztonsági stratégia) és annak központi eleme, a hamarosan elfogadandó hálózat- és információbiztonsági (NIS) irányelv, valamint az információs rendszerek elleni támadásokról szóló 2013/40/EU irányelv alkotja az Európai Unió alapvető szabályozási elhárítórendszerét e kiberbiztonsági kihívások leküzdésében. Az EU emellett különleges szervezetek segítségét is igénybe veszi: ilyenek például az Európai Uniós Hálózat- és Információbiztonsági Ügynökség (ENISA), az Europol Számítástechnikai Bűnözés Elleni Európai Központja (EC3), valamint a hálózatbiztonsági vészhelyzeteket elhárító csoport (CERT-EU). Nemrégiben több ágazati kezdeményezést is útjára indítottak (például az energia- és a szállítási szektorban), hogy javuljon a kritikus fontosságú területek kiberbiztonsága.

A kiberbiztonsági incidensek nap mint nap súlyos károkat okoznak az európai vállalatok és a gazdaság számára. Az ilyen incidensek aláássák a polgárok és a vállalkozások digitális társadalomba vetett bizalmát. A kereskedelmi titkok, az üzleti információk és a személyes adatok ellopása, a szolgáltatások – az alapvető szolgáltatásokat is beleértve – és az infrastruktúrák működésének szünetelése több száz milliárd eurós gazdasági veszteséget okoz évente. Az ilyen események a polgárok alapvető jogai és a társadalom egésze szempontjából is következményekkel járhatnak.

A titkosságot garantáló megbízható bejelentési csatornák szintén létfontosságúak, ha ösztönözni kívánjuk a kereskedelmi titkok számítógépes rendszereken keresztüli ellopásának bejelentését. Így lehetővé válhat az európai ipar és a kutatóintézetek által elszenvedett – akár pénzügyi veszteséget vagy munkahelyek megszűnését okozó – károk megfigyelése és felmérése. Ez egyben a megfelelő szakpolitikai reakció kidolgozását is elősegítené. Az ENISA, az Európai Unió Szellemi Tulajdoni Hivatala (EUIPO) és az EC3 (Europol) támogatásával a Bizottság – a magánszektorbeli érdekeltekkel egyeztetve – megbízható csatornákat fog létrehozni a kereskedelmi titkok számítógépes rendszereken keresztüli ellopásának önkéntes bejelentésére. Ez névtelen és összesített statisztikák létrehozására is lehetőséget adna. Az adatok megoszthatók a tagállamokkal is, így előmozdíthatók a diplomáciai erőfeszítések és a tudatosságot növelő kampányok, ezáltal pedig hatékonyabbá válhat az EU immateriális javainak védelme a kibertámadásokkal szemben.

A számítógépes fenyegetések jellege és nagy mennyisége miatt a Bizottság azt javasolja a tagállamoknak, hogy igyekezzenek maximálisan kihasználni a kiberbiztonsági irányelv meglévő együttműködési mechanizmusait, továbbá fejlesszék a határokon átnyúló együttműködést a nagyszabású kiberbiztonsági incidensekre való felkészültség terén. Az ilyen, jelentős kiberbiztonsági incidensekre vonatkozó további közös fellépésben hasznos lehet a számítógépes ökoszisztéma különféle elemei közötti válsághelyzeti együttműködés koordinált megközelítése. Ez a megközelítés „tervezetként” is meghatározható, amely egyben biztosítja a meglévő válságkezelő mechanizmusokkal való szinergiákat és koherenciát. A megközelítést ezt követően rendszeresen tesztelni kell a kiberbiztonsági és egyéb válságkezelési gyakorlatok során. Az eljárásokban az olyan uniós szintű szervezeteknek is szerepet kell vállalniuk, mint az ENISA, a CERT-EU és az Europol Számítástechnikai Bűnözés Elleni Európai Központja (EC3), továbbá alkalmazni kell a CSIRT-hálózattal összefüggően kifejlesztett eszközöket. 2017 első felében a Bizottság ilyen együttműködési tervezetet fog bemutatni az együttműködési csoport, a CSIRT-hálózat és más érdekeltek számára.

Végül, de nem utolsósorban a közigazgatási szervek is szerepet kapnak a kulcsfontosságú internetes infrastruktúrák integritásának ellenőrzése terén, hogy időben észleljék az esetleges problémákat, értesítsék a kérdéses hálózatokért felelős felet, továbbá – ha szükséges – segítséget nyújtsanak az ismert sérülékenységek megszüntetésében. A nemzeti szabályozó hatóságok a CSIRT csoportok kapacitásainak felhasználásával rendszeres vizsgálatokat végezhetnének a nyilvános hálózati infrastruktúrákon. Ennek alapján arra ösztönözhetnék a szolgáltatókat, hogy javítsák ki a hiányosságokat, illetve orvosolják a vizsgálatok során észlelt sérülékenységeket.

A Bizottság ezért meg fogja vizsgálni az ahhoz szükséges jogi és szervezeti feltételeket, hogy a nemzeti szabályozó hatóságok számára lehetővé tegyék – a nemzeti kiberbiztonsági hatóságokkal együttműködve –, hogy a CSIRT csoportoktól rendszeres sérülékenységi vizsgálatok elvégzését kérjék a nyilvános hálózati infrastruktúrákon. A nemzeti CSIRT csoportokat arra kell ösztönözni, hogy a CSIRT-hálózat keretében működjenek együtt a hálózatfigyelés legjobb gyakorlatai tekintetében, így elősegítve a nagyszabású incidensek megelőzését.

A Bizottság: -elősegíti az ágazati információmegosztási és analitikai központok európai együttműködését, támogatja együttműködésüket a CSIRT csoportokkal, továbbá arra törekszik, hogy megszüntesse a piaci résztvevők általi információmegosztás akadályait; -tanulmányozza azt a stratégiai/rendszerszintű kockázatot, amely a nagy mértékű kölcsönös függőségben lévő ágazatokban – a nemzeti határokon belül és azokon átívelően – előforduló kiberbiztonsági incidensekből ered; -felméri a helyzetet és dönt arról, hogy szükség van-e további szabályokra és/vagy útmutatásokra a kiberbiztonsági kockázatokra való felkészülés terén a kritikus ágazatokban; -az ENISA, az EUIPO és az EC3 segítségével megbízható bejelentési csatornákat hoz létre a kereskedelmi titkok számítógépes rendszereken keresztüli ellopásának bejelentéséhez; -támogatja a kiberbiztonsági intézkedések beépítését az európai ágazati szakpolitikákba; és -megvizsgálja az ahhoz szükséges feltételeket, hogy a nemzeti hatóságok a CSIRT csoportokon keresztül rendszeres vizsgálatokat kérhessenek a nyilvános hálózati infrastruktúrákon.

3. Az európai kiberbiztonsági egységes piac kihívásainak kezelése

Európának jó minőségű, elérhető árú és interoperábilis kiberbiztonsági termékekre és megoldásokra van szüksége. Az egységes piacon azonban földrajzilag nagyon széttagolt az ikt-biztonsági termékek és szolgáltatások ellátása. Ez egyrészt megnehezíti, hogy az európai vállalatok nemzeti, európai és nemzetközi szinten versenybe szálljanak; másrészt pedig csökkenti a polgárok és a vállalatok számára hozzáférhető erőteljes és hatékony kiberbiztonsági technológiák választékát.

Európa kiberbiztonsági ágazata tulajdonképpen nagyrészt a nemzetközi kormányzati keresletnek – a védelmi szektort is beleértve – köszönhetően fejlődött. A védelem terén működő legtöbb európai szervezetnél kiberbiztonsági részleget hoztak létre. Ezzel párhuzamosan több ezer innovatív kis- és középvállalkozás is megjelent a különleges igényekkel rendelkező és rétegpiacokon (például titkosítási rendszerek), valamint – új üzleti modellekkel – a hagyományos piacokon is (például víruskeresők).

A vállalatok azonban csak nehezen képesek túlnőni saját nemzeti piacaik határait. Ennek legjelentősebb tényezőjeként a Bizottság a konzultációk során a határokon átnyúló módon kínált megoldásokkal kapcsolatos bizalomhiányt azonosította. Ennek következménye, hogy a legtöbb beszerzés még mindig az adott tagállam határain belül történik, mivel számos vállalat nem képes elérni azt a méretgazdaságosságot, amellyel versenyképesebb termékeket kínálhatnának mind a belső, mind a nemzetközi piacokon.

Az interoperábilis megoldások (műszaki szabványok), a gyakorlatok (eljárási szabványok) és az egész Unióra kiterjedő tanúsítási mechanizmusok hiánya szintén komoly problémát jelent a kiberbiztonság egységes piacán. Ebben az összefüggésben a kiberbiztonságot a digitális egységes piac ikt-szabványosítási prioritásainak egyikeként határozták meg.

Az egységes piac kiberbiztonsági vállalatainak korlátozott növekedési kilátásai miatt számos fúzióra és akvizícióra kerül sor nem európai vállalatok részéről. Míg ez a tendencia az európai kiberbiztonsági vállalatok innovációs képességeit bizonyítja, rámutat az európai szakértelem elvesztésének és az „agyelszívásnak” a kockázatára is.

Sürgős beavatkozásra van szükség a kiberbiztonsági termékek és szolgáltatások egységes piacán az integráció növelése érdekében, hogy gyakorlatiasabb és megfizethetőbb megoldások születhessenek.

Az Európa ágazati és intézményi szereplői között tornyosuló bizalmi akadályok leküzdhetők az innovációs életciklus korai szakaszában történő együttműködés előmozdításával: magán a kiberbiztonsági ágazaton belül, a szállítók és a vásárlók között; valamint az ágazatok közötti dimenzióban is, olyan iparágak bevonásával, amelyek a kiberbiztonsági megoldások felhasználói vagy potenciális felhasználói.

Ezzel egyidejűleg a kettős felhasználású termékek, szolgáltatások és technológiák fejlesztése egyre fontosabbá válik Európában. A védelmi piac egyre több megoldást vesz át a civil piacról. A közeljövőben várható európai védelmi cselekvési terv részeként a Bizottság szándéka, hogy európai szintű intézkedéseket határozzon meg a polgári-katonai szinergiák további ösztönzésére.

3.1. Tanúsítás és címkézés

A tanúsítás fontos szerepet játszik a termékekbe és szolgáltatásokba vetett bizalom, valamint a termékek és szolgáltatások biztonságának növelése terén. Ez igaz az olyan új rendszerekre is, amelyek nagymértékben alkalmazzák a digitális technológiákat és magas szintű biztonságot igényelnek: ilyenek például az összekapcsolt és automatizált járművek, az elektronikus egészségügyi megoldások, az ipari automatikus vezérlőrendszerek (IACS) vagy az intelligens energiahálózatok.

Folyamatosan jelennek meg az olyan nemzeti kezdeményezések, amelyek magas szintű kiberbiztonsági követelményeket támasztanak a hagyományos infrastruktúra ikt-összetevőivel szemben, a tanúsítási követelményeket is ideértve. Ezek fontosak ugyan, de fennáll a kockázata, hogy az egységes piac széttöredezéséhez és interoperabilitási problémákhoz vezetnek. Csak néhány tagállamban működnek hatékony biztonsági tanúsítási programok az ikt-termékekhez. Ezért előfordulhat, hogy az ikt-forgalmazónak számos tanúsítási folyamaton kell átesnie, hogy több tagállamban értékesíthesse a termékeit. A legrosszabb esetben az is előfordulhat, hogy egy adott tagállamban létező kiberbiztonsági követelmények teljesítésére tervezett ikt-terméket vagy -szolgáltatást egyáltalán nem lehet forgalmazni egy másik tagállamban.

A működő kiberbiztonsági egységes piac kialakítása érdekében az ikt-termékek és szolgáltatások lehetséges biztonsági tanúsítási keretének a következő célok elérésére kell törekednie: i. az ikt-rendszerek, -termékek és -szolgáltatások széles körének lefedése; ii. a végrehajtás biztosítása mind a 28 tagállamban; továbbá iii. a kiberbiztonsági elemek kezelése a nemzetközi fejlemények figyelembevételével.

Ebből a célból a Bizottság az ikt-termékek és -szolgáltatások biztonsági tanúsításával foglalkozó munkacsoportot hoz létre, amelyben a tagállamok és az ágazat szakértői vesznek részt. A munkacsoport célja, hogy az ENISA és a Közös Kutatóközpont támogatásával 2016 végéig ütemtervet dolgozzon ki, amely megvizsgálja az európai IKT biztonsági tanúsítási keretrendszerre vonatkozó javaslat létrehozásának lehetőségét 2017 végéig. Ebben az összefüggésben a Bizottság figyelembe veszi a 2008/765/EK rendeletet, valamint az 2016/679/EU általános adatvédelmi rendeletet is.

A folyamat széles körű konzultációt és hatásvizsgálatot is tartalmaz. A Bizottság így megvizsgálhatja az ikt-termékekre és -szolgáltatásokra vonatkozó tanúsítási keret létrehozásának különféle lehetőségeit. A Bizottság emellett megvizsgálja az ikt-biztonsági tanúsítás lehetőségeit az infrastrukturális ágazatokban is (például légi közlekedés, vasút, autóipar), valamint a bevezetésre kész technológiák (például az ipari automatikus vezérlőrendszerek kiberbiztonsága, a dolgok internete, felhőalapú technológiák) konkrét tanúsítási és érvényesítési mechanizmusain belül is. Foglalkozni fog továbbá az európai ikt-biztonsági tanúsítási program fent említett hiányosságaival is.

A tanúsítási eljárások a lehető legnagyobb mértékben támaszkodni fognak a nemzetközileg elfogadott szabványokra, a kidolgozásukra pedig nemzetközi partnerek bevonásával fog sor kerülni.

A Bizottság emellett megvizsgálja, hogyan lehetne leghatékonyabban beépíteni az ikt-biztonsági tanúsítást a jövőbeli ágazatspecifikus jogszabályokba, amelyek szintén biztonsági kérdésekkel kapcsolatosak.