Mivel a gazdaság és a társadalom digitalizációja és hálózatba kapcsolódása globális méreteket ölt, a problémák jóval túlmutatnak egy-egy tagállam területén. Ezért tehát uniós szintű beavatkozásra van szükség. A jelenlegi helyzetet és a jövőt tekintve is úgy tűnik, hogy az EU kibertámadásokkal szembeni kollektív ellenálló képessége a tagállamok által hozott egyedi intézkedések útján nem fokozható, különösen azért, mert a kiberbiztonsággal –– kapcsolatos szemléletmódokat nagy széttagoltság jellemzi, a kiberbiztonsági problémák viszont rendszerint több országot is érintenek.

A digitális technológiák és az internet az EU gazdaságának és társadalmának gerincét képezik. Számos kritikus fontosságú gazdasági ágazat, mint például a közlekedés, az energetika, az egészségügy vagy a pénzügyi szektor szinte már nem is tudná fő tevékenységét ellátni a hálózati és információs rendszerek nélkül. A dolgok internete a tárgyakat és az embereket kommunikációs hálózatokon keresztül köti össze. Ezek az új realitások páratlan lehetőségeket teremtenek, de egyúttal támadási felületet is kínálnak. A kiberbiztonsági események szinte virágkorukat élik: összetettségüket, előfordulásuk gyakoriságát és hatásukat – amely érintheti az alapvető szolgáltatásokhoz való hozzáférést, de akár a demokratikus folyamatokban való részvételt is – fokozódó tendencia jellemzi.

B.Megoldások

Milyen lehetőségek kínálkoznak a célok elérésére? Van-e előnyben részesített megoldás?

Ez a hatásvizsgálat több szakpolitikai lehetőséget is körbejár, amelyek az Európai Uniós Hálózat- és Információbiztonsági Ügynökség (ENISA) és az IKT-biztonsági tanúsítás felülvizsgálatára irányulnak.

Az ENISA felülvizsgálata

0. lehetőség – alapforgatókönyv – ez az opció a jelenlegi helyzet fenntartásában áll. Az ENISA megbízatását kiterjesztenék; az Ügynökség céljai és feladatai nagyrészt változatlanok maradnának, viszont a későbbi uniós jogszabályok (pl. a kiberbiztonsági irányelv) további feladatokat ruházhatnának rá.

1. lehetőség – az ENISA megbízatásának lejárta (az ENISA megszüntetése). Ez az opció az ENISA megszüntetéséhez vezetne megbízatásának lejártakor (2020 júniusában), és adott esetben a hatáskörök/tevékenységek uniós és/vagy nemzeti szinten történő újraelosztásával járna.

2. lehetőség – az ENISA„megreformálása”. Ez az opció az ENISA jelenlegi megbízatásából indulna ki, és a kiberbiztonsági fejlemények figyelembevételének érdekében bizonyos célirányos változtatások elfogadását jelentené. Az Ügynökség állandó megbízatást kapna, és tevékenysége a következő fő alapelemekből tevődne össze: az uniós szakpolitikák kidolgozásának és végrehajtásának támogatása; kapacitásfejlesztés; az ismeretek bővítése és terjesztése; a piaccal kapcsolatos feladatok; kutatás és innováció; továbbá operatív együttműködés és válságkezelés.

3. lehetőség – teljes műveleti képességgel felruházott uniós kiberbiztonsági ügynökség. Ez a lehetőség az ENISA reformját foglalja magában, három fő funkció egyesítésével: 1. szakpolitikai/tanácsadói funkció; 2. információs és szakértői központ, valamint 3. hálózatbiztonsági vészhelyzeteket elhárító csoport (CERT). Ez az opció lényegében ugyanazt a változást jelentené az Ügynökség megbízásának hatályát illetően, mint a 2. lehetőség. Az Ügynökség azonban a biztonsági eseményekre való reagálás és a válságkezelés terén további feladatokat kapna annak érdekében, hogy funkciója a kiberbiztonság teljes életciklusára, vagyis a kiberbiztonsági események megelőzésére, felderítésére és az azokra való reagálásra is kiterjedjen.

Tanúsítás

0. lehetőség – alapforgatókönyv – semmi nem változik. Ezen opció szerint a Bizottság fenntartaná a jelenlegi helyzetet, és nem hajtana végre szakpolitikai vagy jogalkotási intézkedéseket.

1. lehetőség – nem jogalkotási (ún. puha jogi) intézkedések. Ez az opció abban állna, hogy a Bizottság nem kötelező erejű szakpolitikai eszközöket (pl. értelmező közleményeket, az EU egészére kiterjedő önszabályozási kezdeményezéseket és szabványosítási tevékenységekre irányuló támogatást) vetne be az átláthatóság javítása és a széttagoltság csökkentése érdekében.

2. lehetőség – uniós jogalkotási aktus a SOG-IS megállapodás valamennyi tagállamra való kiterjesztéséről. E szakpolitikai lehetőség értelmében a Bizottság jogalkotási aktust terjesztene elő azzal a céllal, hogy a tagságot valamennyi tagállamra hivatalosan kiterjessze.

3. lehetőség – általános uniós keretrendszer az IKT-biztonsági tanúsításra. Ez az opció az IKT-biztonsági tanúsítás európai keretrendszerének létrehozásával (és egy nemzeti hatóságok képviselőiből álló szakértői csoport megalapításával) jár. Az új keretrendszer a lehető legnagyobb mértékben a már meglévő IKT-biztonsági tanúsítási rendszereken alapulna. Lényegében arról van szó, hogy a keretrendszer révén olyan uniós tanúsítási rendszereket lehetne kialakítani, amelyeket minden tagállamban elfogadnak.

Az előnyben részesített megoldás az ENISA-val kapcsolatos 2. lehetőség és a tanúsításra vonatkozó 3. lehetőség kombinációja.

Kik a különböző érdekeltek? Ki melyik megoldást támogatja?

Úgy tűnik, hogy a konzultációban részt vevő legkülönfélébb érdekelt felek (a tagállamok, az ágazat, az uniós intézmények és a kutatótársadalom) túlnyomó többsége örömmel fogadja az előnyben részesített megoldást, mivel egyetértenek abban, hogy meg kell erősíteni az ENISA-t, és európai IKT-biztonsági tanúsítási keretrendszert kell létrehozni.

Különösen abban a tekintetben van egyetértés, hogy (minimumként) egy állandó megbízatással rendelkező, jól működő uniós ügynökségre van szükség, amely megfelelő forrásokkal és felhatalmazásokkal rendelkezik ahhoz, hogy kezelni tudja a jelenlegi és jövőbeli kiberbiztonsági kihívásokat. Az érdekeltek széles körben egyetértenek abban is, hogy létre kell hozni egy önkéntes, igény szerint méretezhető európai keretrendszert.

Ami az ágazatot illeti, ezt a tanúsítási megoldást a már jelenleg is tanúsítási követelmények hatálya alá tartozó vállalkozások támogatják, amelyeknek előnyére válna, ha lenne egy, a tanúsítványok kölcsönös elismerésén alapuló, az egész EU-ra kiterjedő mechanizmus. A javaslatot a kkv-k is támogatják, amelyeket a lehető leghátrányosabban érintené, ha a különböző tagállamokban különböző tanúsítási eljárásokhoz kellene folyamodniuk most vagy a jövőben. Néhány tagállam, különösen a kevesebb forrással rendelkezők, valamint az ágazat és az uniós intézmények néhány képviselője kedvezően nyilatkozott az ENISA-ra vonatkozó 3. lehetőségről is.

C. Az előnyben részesített megoldás hatásai