Az EU-nak nagyobb felelősséget kell vállalnia saját biztonságáért. Ehhez modern és interoperábilis európai fegyveres erőkre van szükség. A tagállamoknak ezért sürgősen és prioritásként kötelezettséget kell vállalniuk arra, hogy növelik a teljes spektrumú kibervédelmi képességekbe történő beruházásokat, beleértve az aktív védelmi képességeket is. Az EU-nak – amellett, hogy továbbra is teljes mértékben elkötelezett a kibertérre vonatkozó nemzetközi jog és normák mellett – jeleznie kell, hogy kész ezeket a képességeket összehangolt módon használni egy tagállam elleni kibertámadás esetén.

Ami az európai védelmi ipar, valamint a védelmi kutatás-fejlesztési szervezetek kiberrezilienciáját illeti, az ilyen szervezetek a NIS 2 irányelv hatálya alá tartoznak, kivéve, ha a tagállamok kifejezetten kizárják ezt. Ez megkövetelné, hogy az ilyen szervezetek kiberbiztonsági kockázatkezelési programmal rendelkezzenek, amely kiterjed az ellátási lánc biztonságára és a biztonsági események bejelentésére is. Mivel a magánszektor jelentős szerepet játszik a védelmi ökoszisztémán belüli kiberbiztonsági szolgáltatások nyújtásában, a tagállamoknak emellett kiberbiztonsági tanúsítási rendszereket is alkalmazniuk kell. Az ENISA tapasztalataira építve fel lehetne tárni egy, a védelmi ipar számára szolgáltatásokat nyújtó vállalatokra vonatkozó uniós kiberbiztonsági tanúsítási rendszer létrehozásának lehetőségét, amely lehetővé tenné a piacba vetett bizalom szintjének harmonizálását.

A világűrbe telepített szolgáltatások egyre nagyobb jelentőséggel bírnak a védelem szempontjából, legyen szó megfigyelésről, helyzetismeretről, pontos helymeghatározásról vagy ultrabiztonságos kommunikációról. Ezért ezek kulcsfontosságú stratégiai eszközök a technológiai szuverenitás szempontjából. A világűrbe telepített szolgáltatások megzavarása jelentős hatást gyakorolhat a védelmi rendszerekre, de a társadalom és a gazdaság egészére is. Rezilienciájuk központi fontosságú az általános kibervédelmi reziliencia szempontjából, mivel rosszindulatú támadások célpontjai lehetnek. Amint azt a KA-SAT hálózatok elleni támadások is mutatják, az űrrendszerek egyre nagyobb kiberfenyegetéseknek vannak kitéve, amelyek befolyásolhatják a világűrbe telepített szolgáltatások rendelkezésre állását vagy folytonosságát. Ez kockázatot jelent az EU világűrrel kapcsolatos stratégiai és biztonsági érdekeire, valamint a kibervédelmet lehetővé tevő és támogató űrbeli képességekre nézve. A stratégiai iránytűben bejelentett uniós biztonsági és védelmi űrstratégia intézkedéseket fog felvázolni az űrinfrastruktúrák és a kapcsolódó szolgáltatások megbízhatóságának és kiberrezilienciájának javítása, valamint az érzékeny uniós űrrendszereket és -szolgáltatásokat veszélyeztető fenyegetésektől való elrettentés és az azokra való reagálás céljából, különös tekintettel a kiberfenyegetésekre.

A kommunikációs és információs rendszereik biztonságával kapcsolatos kérdések kezelése érdekében a tagállamok saját biztonsági szabványokat és követelményeket dolgoznak ki a katonai rendszerekre vonatkozóan, amelyek nem mindig veszik figyelembe az interoperabilitás szükségességét, sem pedig a kettős felhasználású termékekre vonatkozó polgári szabványok meglétét. Ez negatív hatást gyakorol a tagállamok azon képességére, hogy együtt lépjenek fel a kibertérben, a katonai KBVP-missziók és -műveletek összefüggésében is, és akadályokat gördít a kölcsönös segítségnyújtás elé. Emellett elő kell mozdítani a katonai és polgári szabványosítási irányvonalak közötti erősebb szinergiákat is, mivel a polgári és katonai ügyfelekre vonatkozó, hasonló, de nem azonos szabványok betartása növeli a kettős felhasználású termékek ipari fejlesztésének termelési költségeit.

Az elmúlt években drámaian megnőtt a kibertámadások száma, köztük az ellátási láncot célzó támadásoké is, amelyek célja a kiberkémkedés, a zsarolóvírusok alkalmazása vagy a zavarkeltés. 2020-ban a SolarWinds ellátási láncára irányuló támadás világszerte több mint 18 000 szervezetet érintett, köztük kormányzati ügynökségeket, nagyobb vállalkozásokat és védelmi vállalatokat. Az Apache log4j szoftvere sebezhetőségének kihasználása rávilágított arra, hogy még a nem magas kockázatúnak vagy nem kritikusnak minősülő szoftverösszetevők is fegyverként használhatók ahhoz, hogy sikeres támadásokat hajtsanak végre az EU-ban nagy vállalatok vagy kormányok ellen, többek között a védelem területén is. Ez azt mutatja, hogy egyértelműen meg kell erősíteni az uniós védelmi ökoszisztémában aktív szervezetek – köztük a katonai szervezetek, a védelmi ipar és a magánszereplők – kiberrezilienciáját.

Az uniós kiberbiztonsági szolidaritási kezdeményezés támogathatná a megbízható magánszolgáltatók szolgáltatásaiból származó uniós szintű kiberbiztonsági tartalék fokozatos kiépítését, amely készen állna arra, hogy a tagállamok kérésére beavatkozzon jelentős, határokon átnyúló kiberbiztonsági események esetén. Egyértelműen meg kell határozni a szerepeket és felelősségi köröket, és azokat teljes mértékben össze kell hangolni a meglévő szervek szerepével és felelősségével annak érdekében, hogy az uniós szintű kiberbiztonsági tartalékból származó támogatás ott álljon rendelkezésre, ahol arra szükség van, és kiegészítse az egyéb lehetséges segítségnyújtási formákat. Bár a konkrét beavatkozások hatóköre és költségeinek elosztása a rendelkezésre álló uniós finanszírozástól függene, az EU azáltal is többletértéket teremtene, hogy biztosítja egy ilyen uniós szintű tartalék rendelkezésre állását és készenlétét. A magas szintű bizalom biztosítása érdekében a Bizottság azt is fontolóra fogja venni, hogy miképpen támogathatná kiberbiztonsági tanúsítási rendszerek kidolgozását a szóban forgó kiberbiztonsági magánvállalatok számára.

A tagállamok együttműködésen alapuló kibervédelmi fejlesztési projektekben való részvételének mértéke azonban egyelőre nem elegendő, és azt az uniós szintű hatás maximalizálása érdekében fokozni kell. Minden tagállamnak növelnie kell a teljes spektrumú kibervédelmi képességek fejlesztésére irányuló beruházásait, és ezeket a többiekkel együttműködve kell fejlesztenie. A tagállamoknak fontolóra kell venniük önkéntes kötelezettségvállalások kidolgozását a nemzeti kibervédelmi képességek, valamint a meglévő PESCO keretében zajló kibervédelmi projekteken túlmutató multinacionális képességek fejlesztésére vonatkozóan. A koordinált éves védelmi szemle (CARD) folyamatát fel lehetne használni arra, hogy párbeszéd kezdődjön a tagállamokkal a kibervédelmi követelményekről és a kibervédelmi képességek fejlesztésére vonatkozó nemzeti célkitűzésekről, valamint hogy értékelésre kerüljön a kötelezettségvállalások végrehajtása. A Bizottság az Európai Védelmi Alapon (EDF) keresztül támogatja és társfinanszírozza a teljes spektrumú kibervédelmi képességfejlesztést és kutatást, az aktív védelmi képességeket is ideértve. A Bizottság már növelte az EDF-en keresztül megvalósított kibervédelmi beruházásokat, amelyek közös és/vagy interoperábilis európai eszközök kifejlesztését célozzák a kibertér-műveletekhez és az incidensek kezeléséhez, az informatikai hadviselési védelmi műveletekhez és a megelőző intézkedésekhez, valamint a kommunikációs és információs rendszerek rezilienciájának javításához. Ezek a beruházások olyan területeket céloznak meg, mint a kiberbiztonsággal kapcsolatos helyzetismeret, a fenyegetettségek valós idejű proaktív felderítése és a reagálási műveleti képességek, a kiberműveleti képességek, valamint a kiberképzések és -gyakorlatok . Annak biztosítása érdekében, hogy a tagállamok képesek legyenek közös kiberműveleteket lebonyolítani, az elkövetkező években az EDF a reagálási műveletekhez és a kiberműveleti képességekhez fog támogatást nyújtani. Végezetül a Bizottság arra ösztönzi a tagállamokat, hogy aktívan vegyenek részt a különböző együttműködési keretekben, és használják ki az uniós szinten létrehozott valamennyi eszközt, köztük az EDA kibervédelmi projektcsoportját is.

Emellett foglalkozni kell a stratégiai függőségekből és az EDTIB széttagoltságából eredő sebezhetőségekkel is. A készségek és kompetenciák különösen elengedhetetlenek a kiberbiztonságtól és a kibervédelemtől való stratégiai függőségek leküzdéséhez Európában. Az európai védelmi iparnak a meglévő kulcsfontosságú készségek megőrzése mellett új készségeket kell szereznie ahhoz, hogy globális környezetben is képes legyen csúcstechnológiai megoldásokat kínálni . A készségek hiánya negatív hatással van a védelmi ágazatra, mivel minden területen akadályozza a képességfejlesztést. Az összes intézkedés teljes mértékben összhangban áll majd a szinergiákról szóló cselekvési tervben, a biztonsági és védelmi szempontból kritikus technológiákra vonatkozó ütemtervben (a továbbiakban: az ütemterv) és a hiányelemzésben bejelentett megközelítésekkel.

Az Ursula von der Leyen elnöknek az Unió helyzetéről szóló 2022. szeptemberi beszédében bejelentett új Európai Szuverenitási Alap is foglalkozhatna a kiberkérdések terén fennálló kritikus függőségek csökkentésével, amelyeket a technológiai ütemtervekben is azonosíthatnak.

A Bizottság az EDF keretében finanszírozza a védelmi célú technológiai innovációt, valamint támogatja a kialakulóban lévő, forradalmi és élvonalbeli technológiák fejlesztését, többek között a kibervédelem terén is. Az EDF költségvetésének legfeljebb 8 %-át a védelmi vonatkozású forradalmi technológiákkal foglalkozó témákra különítik el, ideértve néhány, a kibervédelemmel kapcsolatos témát is. Az elkövetkező években az EDF keretében különös figyelmet fognak fordítani azokra a kutatási tevékenységekre és projektekre, amelyek a kialakulóban lévő és változó fenyegetésekkel szemben fejlesztett új technológiákkal, valamint a reziliencia növelésével, a kiberbiztonság fokozásával és ezeknek a védelmi képességekbe való integrálásával foglalkoznak.

A partnerek számára előnyös lesz, ha az EU képességekkel és rezilienciával rendelkezik a kibertérben, valamint a vonatkozó uniós eszközök révén nyújtott uniós kibervédelmi segítségnyújtásból és kapacitásépítésből is profitálnak. Az EU arra fog törekedni, hogy testre szabott partnerségeket hozzon létre a kibervédelem területén, amennyiben ezek kölcsönösen előnyösek. A kibervédelmi partnerségek a partnerországok katonai KBVP-missziókban és -műveletekben való részvételével összefüggésben is napirendre kerülnek.

Az EBVF, az EDA és a tagállamok a képzési követelmények és a képzési igények elemzése alapján továbbfejlesztik és megszervezik a kibervédelmi képzési tevékenységeket és gyakorlatokat az uniós intézmények, a KBVP-műveletek és -missziók, valamint a tagállami tisztviselők számára. A képzési kapacitások bővítése érdekében meg fogják vizsgálni az EBVF kiberoktatással, -képzéssel, -értékeléssel és -gyakorlattal kapcsolatos platformjának (ETEE) továbbfejlesztését is. Ennek magában kell foglalnia a konkrét műveleti területre és a több területre kiterjedő műveletekre vonatkozó képzéseket is. Szinergiákra kell törekedni különösen az Uniós Kiberakadémia és Innovációs Központ (EU CAIH) PESCO-projekttel.

4.1. Együttműködés a NATO-val

Az EU és a NATO közötti stratégiai partnerség továbbra is alapvető fontosságú az euroatlanti biztonság szempontjából, amint azt a stratégiai iránytű és a NATO 2022. évi stratégiai koncepciója is hangsúlyozza. Az EU továbbra is teljes mértékben elkötelezett e kulcsfontosságú partnerség erősítése mellett, többek között a kibervédelem területén is, és további lépések megtételét sürgeti a közös fenyegetésekre és kihívásokra vonatkozó közös megoldások kidolgozása érdekében. Az EU és a NATO közötti együttműködésről szóló varsói és brüsszeli együttes nyilatkozatokkal összhangban, valamint az átláthatóság, a kölcsönösség és az inkluzivitás, a nyitottság és mindkét szervezet döntéshozatali autonómiájának elve alapján a kiberbiztonság és a kibervédelem az egyik kiemelt együttműködési terület az EU számára.

A kölcsönösség elve alapján az EU továbbra is eszmecserét folytat a NATO-val a kibervédelmi szempontoknak a katonai KBVP-missziók és -műveletek tervezésébe és végrehajtásába történő integrálására vonatkozó katonai koncepcionális keretről. Az EU a lehető legnagyobb mértékben törekedni fog az összeegyeztethetőségre a NATO kibervédelmi koncepcióival és doktrínájával.

Tekintettel a kibervédelmi képességek iránti nagy keresletre, az EU ösztönözni fogja a szervezeti és nemzeti határokon átnyúló szinergiák és komplementaritás kiaknázását a NATO-val. Az EU partnerként fog együttműködni a NATO-val a kibervédelmi képességek technikai és eljárási interoperabilitásának megerősítése érdekében, ideértve a képességeknek a szövetséges műveleti hálózat (FMN) kezdeményezéssel összhangban történő fejlesztését is. Ez megnyitja az utat a kibervédelmi képességek potenciálisan egymást kölcsönösen támogató fejlesztése és alkalmazása előtt. Különös figyelmet kell fordítani a szabványok interoperabilitására, hozzájárulva a kiberrezilienciához és a katonai kommunikációs és információs rendszerek interoperabilitásához, adott esetben az ipar bevonásával.

Annak érdekében, hogy koherens képzést biztosítson az érintett kibervédelmi személyzet számára, az EU adott esetben meg fogja erősíteni a NATO-val a képzési igények és a követelmények elemzésének összehangolása terén folytatott együttműködést, közös tanterveket, tanfolyamokat és gyakorlatokat dolgozva ki. A kölcsönösség és a megkülönböztetésmentesség elve alapján az EBVF megnyitja kibervédelmi képzéseit a NATO személyzete előtt, és platformot hoz létre a közös tanfolyamok meghirdetésére. Az EU emellett ösztönözni fogja a NATO személyzetének részvételét a kibergyakorlatokban és a kiberelemeket tartalmazó válságkezelési gyakorlatokban.

Az EU és a NATO emellett együttműködik a kölcsönös helyzetismeret további javítása érdekében, és fel fogja térképezni a koordináció lehetőségeit, többek között az NCIRC és a CERT-EU közötti együttműködés megerősítése révén. A válságkezelés és -reagálás kiberszempontú vonatkozásaival és következményeivel kapcsolatos együttműködés előmozdítása érdekében az EU hozzá fog járulni a katonai, polgári és közös kezdeményezésekkel foglalkozó személyzet közötti eszmecseréhez, valamint adott esetben a vonatkozó válságkezelési keretek és kezdeményezések potenciális szinergiáinak kialakításához, többek között a nagyszabású kiberbiztonsági események esetében is. A kölcsönös kiegészítő jelleg biztosítása és a szükségtelen párhuzamos erőfeszítések elkerülése érdekében az EU szorosabb együttműködésre és információcserére fog törekedni a NATO-val a partnerországok kibervédelmi kapacitásépítési erőfeszítéseiről.

4.2. Együttműködés a hasonlóan gondolkodó partnerekkel

A főképviselő szisztematikusabban fel fogja venni a kibervédelmi kérdéseket a partnerekkel folytatott meglévő és jövőbeli kiber-, valamint biztonsági és védelmi dialógusok napirendjére. Ahogy a kibervédelmi szempontok egyre nagyobb hangsúlyt kapnak a kétoldalú párbeszédek során, egyre nagyobb lehetőség nyílik arra, hogy a kibervédelmi kérdéseket az uniós partnerekkel folytatott együttműködés más formáiba is bevezessék.

Az EU és az Egyesült Államok közötti stratégiai partnerség keretében folytatódik a biztonság és a védelem terén folytatott együttműködés kölcsönösen előnyös elmélyítése, többek között a helyzetismerettel kapcsolatos strukturált információcsere révén. A rendszeres EU–USA kiberpárbeszédek és az EU–USA biztonsági és védelmi párbeszédek állandósítják az erős transzatlanti partnerséget. A főképviselő adott esetben be fogja építeni e párbeszédekbe a kibervédelem releváns szempontjait.

Az EU nemzetközi partnereivel együtt továbbra is támogatni fogja Ukrajnát, többek között kiberpárbeszéd révén. Tekintettel Ukrajnának a kiberreziliencia és a kibervédelmi képességek kiépítése terén szerzett tapasztalataira, a kibervédelemmel kapcsolatos bevált gyakorlatok – többek között a fenyegetettségi helyzetre és a helyzetismeretre vonatkozó információk – cseréje, valamint a releváns szakpolitikai fejlemények továbbra is közös érdeklődésre tartanak számot, és egyre inkább ki fognak terjedni.

A hasonlóan gondolkodó partnerek fontos szerepet játszanak a globális, nyitott, stabil és biztonságos kibertér fenntartásában, és kiegészíthetik az EU azon képességét, hogy megelőzze, visszatartsa és eltántorítsa a kibertérben tanúsított rosszindulatú magatartást, illetve reagáljon arra. Az EU továbbra is nyitott a széles körű, ambiciózus és kölcsönösen előnyös biztonsági és védelmi szerepvállalásra, többek között a kibervédelem terén, valamennyi hasonlóan gondolkodó partner bevonásával.

4.3. Kibervédelmi kapacitásépítési támogatás a partnerországok számára

A globális és regionális kihívások növelték az EU és partnerei kölcsönös egymásrautaltságát, és rávilágítottak arra, hogy szorosabb partnerségeket kell kialakítani a biztonság és a védelem területén. Ez különösen fontos az uniós tagjelölt országok tekintetében. A közelmúltbeli nagyszabású kibertámadások azt jelzik, hogy a meglévő programokra építve fokozott uniós szerepvállalásra és partnerségre van szükség a kiberbiztonság és a kibervédelem terén. A kiberfenyegetések transznacionális jellege miatt a partnerországok – különösen az alacsonyabb szintű kiberérettséggel rendelkező országok – kiberrezilienciájának fokozása hozzá fog járulni kibertér biztonságának növeléséhez. Az EU képességei ezzel javulnának a kibertámadások megelőzése, felderítése, az ellenük való védekezés és az azoktól való elrettentés terén. Az EU – többek között a meglévő párbeszédek révén – meg fogja erősíteni a partnerországokkal folytatott biztonsági és védelmi együttműködést annak érdekében, hogy megerősítse kiberrezilienciájukat. Amennyiben az megvalósítható és kölcsönösen előnyös, az EU hozzá fog járulni partnerei kibervédelmi kapacitásépítési erőfeszítéseihez, különösen azon uniós tagjelölt országok esetében, amelyek joganyagukat már harmonizálták az EU közös kül- és biztonságpolitikájával és közös biztonság- és védelempolitikájával. Ez kiterjedhet szakpolitikai és jogalkotási keretek támogatására, a partnerek fegyveres erőinek és biztonsági erőinek kiképzésére, mentorálására és felszerelésére, valamint az ezek részére való tanácsadásra. A tagállamok dönthetnek úgy, hogy kibervédelmi operatív segítséget nyújtanak a partnereknek. Emellett az EU segíteni fogja partnereit abban, hogy megerősítsék a katonai KBVP-missziókhoz és -műveletekhez való hozzájárulásra irányuló kapacitásukat, mivel ez értékes hozzájárulást jelent a béke és a biztonság előmozdítására irányuló kölcsönös erőfeszítésekhez.

Az Európai Békekeret továbbra is támogatni fogja azokat az uniós erőfeszítéseket, amelyek célja a védelmi kapacitások – többek között a kibervédelem – kiépítésének elősegítése a partnerországokban, különösen az EU szomszédságában, kiegészítve a KBVP keretében folytatott válságkezelési erőfeszítéseket. E tekintetben az EU szükség esetén jobban összekapcsolja a kibervédelmi segítségnyújtást a polgári kiberbiztonsági kapacitásépítéssel, különösen az uniós kiberkapacitás-építési testületen keresztül. A kibervédelmi és kiberbiztonsági kapacitásépítési intézkedések sikeréhez hatékony koordinációra lesz szükség a vonatkozó uniós programok és eszközök – köztük az Európai Békekeret – és a tagállamok között.

Amellett, hogy támogatást nyújt a partnerországoknak a kibervédelmi kapacitásépítési erőfeszítéseikhez, az EU szorosan együtt fog működni más donorokkal a helyzetismereti és koordinációs platformok kialakítása érdekében azzal a céllal, hogy a lehető legjobb, testre szabott támogatást lehessen nyújtani, valamint biztosítani lehessen az erőfeszítések koherenciáját és a felesleges duplikációk elkerülését.