BIZOTTSÁGI SZOLGÁLATI MUNKADOKUMENTUM A HATÁSVIZSGÁLAT ÖSSZEFOGLALÁSA amely a következő dokumentumot kíséri Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS IRÁNYELVE a hálózat- és információbiztonságnak az egész Unióban egységesen magas szintjére vonatkozó intézkedésekről /* SWD/2013/031 final */





BIZOTTSÁGI SZOLGÁLATI MUNKADOKUMENTUM A HATÁSVIZSGÁLAT ÖSSZEFOGLALÁSA amely a következő dokumentumot kíséri Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS IRÁNYELVE a hálózat- és információbiztonságnak az egész Unióban egységesen magas szintjére vonatkozó intézkedésekről 1. Tárgykör Ez a hatásvizsgálat azt vizsgálja, hogy milyen politikai megoldásokkal tehető biztonságosabbá az internet és a többi olyan hálózat és információs rendszer, amelyre támaszkodnak a társadalmunk működéséhez hozzátartozó szolgáltatások (például a közigazgatási, pénzügyi és banki, energetikai, közlekedési és egészségügyi szolgáltatások, valamint olyan, kulcsfontosságú gazdasági és társadalmi folyamatokat lehetővé tevő internetes szolgáltatások, mint az elektronikus kereskedelmi platformok és a közösségi oldalak). Ezt a kérdéskört hálózat- és információbiztonságnak nevezik. 2. Szakpolitikai háttér A Bizottság 2001-ben ismerte fel először a hálozat- és információbiztonság növekvő fontosságát gazdasági és társadalmi rendszereinkben. Annak érdekében, hogy az Európai Unióban magas szintű és hatékony hálózat- és információbiztonság uralkodjék, az Európai Közösség 2004-ben úgy döntött, hogy létrehozza az Európai Hálózat- és Információbiztonsági Ügynökséget (European Network and Information Security Agency, ENISA). A hálózat- és információbiztonság területén az Európai Unió mostanáig főként azt az eljárást követte, hogy cselekvési terveket és stratégiákat fogadott el, melyek azt voltak hivatottak elérni, hogy a tagállamok bővítsék hálózat- és információbiztonsági eszköztárukat, és egymással együttműködve birkózzanak meg a határokon átnyúló hálózat- és információbiztonsági problémákkal. Az érdekeltek a következő alkalmakkor nyilváníthattak véleményt a kezdeményezés különböző vetületeiről (a probléma meghatározásáról és a meglévő hiányosságok orvoslásának lehetséges módjairól): · Nyilvános online konzultáció 2012. július 23-tól október 15-ig az uniós hálózat- és információbiztonság fokozásáról. A Bizottsághoz az online konzultációs eszközön keresztül 169 válasz, írásban pedig további 10 válasz érkezett be. · Megbeszélések a tagállamokkal a tagállamok európai fórumán (European Forum for Member States – EFMS), kétoldalú találkozókon, valamint a Bizottság és az Európai Külügyi Szolgálat szervezésében 2012. július 6-án tartott uniós kiberbiztonsági konferencián. · Megbeszélések a magánszféra vállalkozásaival és szervezeteivel az európai köz-magán reziliencia-partnerség (EP3R) keretében és kétoldalú találkozókon. · Megbeszélések az ENISA-val és a CERT–EU-val (a hálózatbiztonsági vészhelyzeteket elhárító uniós csoporttal). · Megbeszélések a digitális menetrenddel kapcsolatos 2012. évi találkozón. 3. A probléma leírása 3.1. A probléma meghatározása A probléma úgy foglalható össze, hogy az Európai Unióban nem elég magas szinvonalú a hálózat- és információbiztonsági eseményekkel, kockázatokkal és fenyegetésekkel szembeni védelem, ez pedig aláássa a belső piac megfelelő működését. Mivel a hálózatok és az információs rendszerek egymással össze vannak kapcsolva, az internet pedig az egész világra kiterjed, a hálózat- és információbiztonsági események nem ismernek országhatárokat, és aláássák a belső piac működését. Biztonságuk megsértése esetén a határokon átnyúló szolgáltatások elérhetetlenné válhatnak, vagy működésük felfüggesztésére, megszakítására kényszerülhetnek, ahogy ez például az eBay és a PayPal elleni támadások alkalmával történt. A Diginotar holland internetes hitelesítő cég elleni támadások rávilágítottak arra, hogy gyorsan kell cselekedni a probléma megoldása és – jelentős zavarkeltő esemény bekövetkezésekor – az információk megosztása érdekében. Az eddigi zavarkeltő események nyomán egyik-másik tagállam saját szabályozás bevezetésébe fogott. Az összehangolatlan jogalkotás azonban a szabályozás széttagolódásához vezethet, és belső piaci akadályokat támaszthat, ami a több tagállamban tevékenykedő cégeknek megfelelési költségeket okozhat. Ez a probléma a társadalom és a gazdaság minden részét (a közszerveket, a vállalkozókat és a fogyasztókat egyaránt) érinti. Egyes ágazatoknak különösen nélkülözhetetlen a szerepe, mivel alapvető szolgáltatásokkal járulnak hozzá gazdaságunkhoz és társadalmunkhoz, ezért rendszereik biztonsága kiemelten fontos a belső piac működése szempontjából. Ilyen ágazatok: a banki és tőzsdei szolgáltatások, az energiatermelés, ‑szállítás és ‑elosztás, a közlekedés (légi, vasúti és tengeri), az egészségügy, az alapvető internetes szolgáltatások feltételeinek megteremtése és a közigazgatás. A nyilvános konzultáción az érdekeltek határozottan támogatták, hogy napirendre kerüljön ezen ágazatok hálózat- és információbiztonságának kérdése, és megfelelő uniós szintű intézkedésekre kerüljön sor. Ha a zavarkeltő események szaporodásának nem vetnek gátat további intézkedések, megrendülhet a fogyasztók bizalma az online szolgáltatásokban, ez pedig meghiúsíthatja a digitális menetrend célkitűzéseinek megvalósítását. 3.2. A probléma kiváltó okai Az imént meghatározott probléma gyökere több tényezőben rejlik. Egyfelől az Európai Unión belül egyenetlen az országos szintű eszköztár színvonala, ez pedig akadálya annak, hogy egyenlő felek közötti kölcsönös bizalom alakuljon ki, márpedig ez előfeltétele volna az együttműködésnek és az információmegosztásnak. Másfelől hiányosságok vannak a zavarkeltő eseményekkel, a kockázatokkal és a fenyegetésekkel kapcsolatos információk megosztásában. A hálózat- és információbiztonsági események nagy része bejelentetlen és észrevétlen marad, a cégek ugyanis vonakodnak megosztani ezt az információt, mivel féltik hírnevüket, vagy tartanak a felelősségre vonástól. A meglévő köz-magán társulások, illetve platformok (például au EFMS és az EP3R) keretében zajló információcsere a legjobb gyakorlatokra szorítkozik. 4. A meglévő intézkedések eredményessége 4.1. Hézagok a meglévő keretszabályozásban A hatályos rendelkezések kizárólag a távközlési vállalatokat kötelezik arra, hogy hálózat- és információbiztonsági kockázatkezelési intézkedéseket hozzanak, és bejelentsék a hálózat- és információbiztonsági eseményeket. Biztonsági kockázatoknak azonban minden olyan piaci szereplő ki van téve, amely hálózati és információs rendszerekre támaszkodik. Vagyis a versenyfeltételek nem egyenlők, hiszen ugyanazt a zavarkeltő eseményt attól függően kötelező bejelenteni a nemzeti hatóságnál vagy sem, hogy érintettje távközlési vállalat vagy például internetprotokollon keresztüli hangtovábbítást nyújtó vállalkozás. Minden adatkezelőnek minősülő piaci szereplő (például bank vagy kórház) az adatvédelmi keretszabályozás értelmében köteles a felmerülő kockázatokkal arányos biztonsági intézkedéseket bevezetni. Az adatkezelőknek azonban csak a személyes adatokat veszélyeztető biztonságsértéseket kell bejelenteniük. Az európai kritikus infrastruktúrák azonosításáról és kijelöléséről szóló 2008/114/EK tanácsi irányelv hatálya mindössze az energiaágazatra és a közlekedési ágazatra terjed ki, és egyelőre kevés az olyan európai kritikus infrastruktúra, amelyet a tagállamok ekként azonosítottak. Az irányelv a piaci szereplőkre nem ró kötelezettséget a jelentős biztonságsértések bejelentését illetően, és mechanizmusokat sem alakít ki a tagállamok közötti együttműködésre és az események elleni tagállami válaszlépésekre. A társjogalkotók jelenleg vitatják meg az információs rendszerek elleni támadásokról szóló irányelvre vonatkozóan a Bizottság által előterjesztett javaslatot[1]. A javaslat csak bizonyos magatartások büntethetővé tételére korlátozódik, így nem terjed ki a hálózat- és információbiztonsági kockázatok és események megelőzésére, az eseményekkel szembeni válaszintézkedésekre és az események hatásának mérséklésére. 4.2. Az önkéntességen alapuló közelítésmód korlátai Az eddigi, önkéntességen alapuló közelítésmód eredményeképpen a felkészültség egyenetlen mértékű, az együttműködés pedig korlátozott. Az EFMS hatásköre korlátozott, hiszen a tagállamok nem osztanak meg információkat az eseményekről, kockázatokról és fenyegetésekről, továbbá nem működnek együtt a határokon átnyúló fenyegetések elhárítása érdekében. Az EFMS nem követelheti meg tagjaitól egy minimális eszköztár meglétét. Az ENISA-nak nincs működési hatásköre, például nem avatkozhat közbe hálózat- és információbiztonsági problémák megoldása érdekében. Az EP3R-nek nincs hivatalos jogállása, és nem követelheti meg a magánszféra szereplőitől, hogy az eseményeket jelentsék be a nemzeti hatóságoknak. Az EP3R nem nyújt keretet a megbízható információk megosztásához, valamint a hálózat- és információbiztonsági fenyegetésekkel, kockázatokkal és eseményekkel kapcsolatos információk közléséhez. 5. Az uniós fellépés szükségessége; szubszidiaritás és arányosság A hálózat- és információbiztonság fenntartása elengedhetetlen a belső piac megfelelő működéséhez és társadalmunk jólétéhez. Az EUMSZ 114. cikke megfelelő jogalap a hálózat- és információbiztonsági követelmények harmonizálásához és egy közös biztonsági minimumszintnek az egész Európai Unióban való bevezetéséhez. A hálózat- és információbiztonság területén történő uniós beavatkozás a szubszidiaritás elve alapján indokolt, mivel a probléma határokon átnyúló természetű, és az uniós szintű intézkedés a meglévő nemzeti politikáknál vélhetően eredményesebb lesz (vagyis hozzáadott értéket képvisel). Valamennyi tagállamra kiterjedő együttműködés csak úgy biztosítható, ha biztosra vehető, hogy mindegyik tagállam eszköztára eléri a minimálisan szükséges szintet. Ezenkívül könnyű belátni, hogy a hálózat- és információbiztonság területén összehangoltan és közösen véghezvitt politikai lépéseknek igen kedvező hatása lehet az alapjogok – és különösen a személyes adatok és a magánélet védelméhez fűződő jog – hathatós védelmére. A választott politikai megoldás intézkedései az arányosság elve alapján indokoltak, hiszen a tagállamokkal szembeni követelmények a megfelelő felkészültség garantálásához és a bizalmon alapuló együttműködéshez szükséges minimumra korlátozódnak, a vállalkozások és a közszervek által a kockázatkezelés és az események bejelentése tekintetében teljesítendő követelmények pedig csak a kritikus szereplőkre rónak kötelezettségeket, mégpedig a kockázattal arányosan, a jelentős hatást keltő események kapcsán. A választott megoldás intézkedései ráadásul nem járnak aránytalan költségekkel. 6. Célkitűzések Az általános célkitűzés a hálózat- és információbiztonsági eseményekkel, kockázatokkal és fenyegetésekkel szembeni védelem szintjének növelése az Európai Unióban. A konkrét célkitűzések pedig a következők: · 1. célkitűzés – Közös hálózat- és információbiztonsági minimumszint bevezetése a tagállamokban, és ezáltal a felkészültség és a válaszintézkedések általános szintjének emelése. · 2. célkitűzés – Az uniós szintű hálózat- és információbiztonsági együttműködés javítása a határokon átnyúló események és fenyegetések eredményes elhárítása érdekében. · 3. célkitűzés – A kockázatkezelés kultúrájának kialakítása, valamint a köz- és a magánszféra közötti információmegosztás javítása. 7. Szakpolitikai lehetőségek E hatásvizsgálatban a következő szakpolitikai lehetőségeket vettük számba: „minden marad a régiben”, szabályozási közelítésmód és vegyes közelítésmód. Azt a lehetőséget, hogy az Európai Unió minden hálózat- és információbiztonsági tevékenységével felhagyjon, eleve elvetettük. 7.1. 1. lehetőség – „Minden marad a régiben” (alapforgatókönyv) A Bizottság – az ENISA segítségével – a továbbiakban is az önkéntességen alapuló közelítésmódot követné, vagyis felszólítaná a tagállamokat, hogy nemzeti szinten alakítsanak ki hálózat- és információbiztonsági eszköztárat (például CERT létrehozása, valamint nemzeti kiberbiztonsági zavarelhárítási/készenléti terv és nemzeti kiberbiztonsági stratégia kidolgozása révén), uniós szinten pedig működjenek együtt (például európai CERT-hálózat létrehozása és európai kiberbiztonsági készenléti/együttműködési terv kidolgozása révén). 7.2. 2. lehetőség – Szabályozási közelítésmód A Bizottság valamennyi tagállamot arra kötelezné, hogy alakítson ki legalább minimális szintű nemzeti eszköztárat (CERT, illetékes hatóság, nemzeti kiberbiztonsági zavarelhárítási/készenléti terv, nemzeti kiberbiztonsági stratégia). E szabályozási közelítésmód szerint a nemzeti illetékes hatóságok és a CERT-ek egy, az uniós szintű együttműködést szolgáló hálózat részei volnának. Ebben a hálózatban a hatóságok és a CERT-ek információkat adnának át egymásnak, és együttműködnének a hálózat- és információbiztonsági fenyegetések és események elhárítása érdekében, egy, a tagállamok közötti megállapodáson alapuló európai kiberbiztonsági készenléti/együttműködési terv szerint. Egyes olyan kritikus ágazatokban, mint a banki szolgáltatások, az energiaellátás (villamosenergia- és földgázellátás), a közlekedés, az egészségügy, az alapvető internetes szolgáltatások feltételeinek megteremtése és a közigazgatás, a vállalkozások (a mikrovállalkozások kivételével) kötelesek volnának felmérni azokat a kockázatokat, amelyeknek ki vannak téve, továbbá megfelelő és arányos intézkedéseket tenni a valós kockázatok mértékének meghatározására. A vállalkozások továbbá kötelesek volnának az illetékes hatóságoknak bejelenteni azokat az eseményeket, amelyek súlyosan veszélyeztetik hálózataik és információs rendszereik működését, s így jelentősen befolyásolják a hálózati és információs rendszereken alapuló szolgáltatásnyújtás és áruellátás folytonosságát. Ez a rendszer az elektronikus hírközlésre vonatkozó keretirányelv 13a. és 13b. cikke szerinti rendszernek felel meg. 7.3. 3. lehetőség – Vegyes közelítésmód A Bizottság a tagállamok hálózat- és információbiztonsági eszköztárának létrehozása, illetve bővítése céljából a tagállamok jó szándékán alapuló önkéntes kezdeményezésekre támaszkodna, az uniós szintű együttműködés mechanizmusainak kialakítása érdekében azonban szabályozási követelményeket támasztana a magánszféra kulcsszereplőivel és a közszervekkel szemben. Az önkéntes kezdeményezések lényegében ugyanazok volnának, mint az 1. lehetőség esetében, míg a szabályozási követelmények a 2. lehetőség szerintiekkel volnának azonosak, az érintett szereplők köre és a kötelezettségek tartalma tekintetében egyaránt. Az ENISA segítené a Bizottság, a tagállamok és a magánszféra munkáját, és technikai szakértelmével hozzájárulna ahhoz, például technikai iránymutatások és ajánlások kibocsátása révén. 8. A hatások elemzése Az elemzés a biztonsági szintre gyakorolt hatásokon túlmenően mindhárom lehetőség gazdasági és társadalmi hatásaira is kiterjed. Kiterjed továbbá a 2. és a 3. lehetőség költségbeli vonzataira is. A felmerülő lehetőségek egyikének sem lesz pontosan előre jelezhető környezeti hatása. 8.1. 1. lehetőség – „Minden marad a régiben” (alapforgatókönyv) Biztonsági szint: Valószínűtlen, hogy valamennyi tagállam nemzeti eszköztára és felkészültsége olyan, közelítőleg azonos szintet érjen el, amely lehetővé tenné a biztonság növelését, az együttműködést és a megbízható információk uniós szintű megosztását. A kockázatkezelés és az eseményekkel kapcsolatos átláthatóság növelése tekintetében tehát továbbra sem uralkodnának egyenlő versenyfeltételek, vagyis a szabályozás hiányos maradna. Gazdasági hatások: A hatás attól függ, hogy a tagállamok milyen mértékben követik a Bizottság ajánlásait. A kevésbé fejlett tagállamok biztonsága nem érné el a szükséges szintet, ami versenyképességük és növekedésük rovására menne, és kiszolgáltatottá tenné őket a kockázatokkal és eseményekkel szemben. A jelenlegi trendek arra utalnak, hogy a hálózat- és információbiztonsági események egyre nagyobb figyelmet kapnának a vállalkozások és fogyasztók körében, ami akadályozná az egységes piac megvalósítását. Társadalmi hatások: Az események, kockázatok és fenyegetések fennmaradása és várható súlyosbodása negatívan befolyásolná az online szolgáltatásokba vetett állampolgári bizalmat. 8.2. 2. lehetőség – Szabályozási közelítésmód Biztonsági szint: A tagállamokra rótt kötelezettségek biztosítanák, hogy minden tagállam megfelelő eszköztárral rendelkezzen, és hozzájárulnának ahhoz, hogy kialakuljon a kölcsönös bizalom légköre, ami előfeltétele az eredményes uniós szintű együttműködésnek. A közszervekkel és a magánszféra kulcsszereplőivel szemben támasztott hálózat- és információbiztonsági kockázatkezelési követelmények erős ösztönzést jelentenének a biztonsági kockázatok eredményes kezelésére és felmérésére. E követelmények teljesítésének az Európai Unió valamennyi gazdasági ágazatában jelentkező többletköltsége összesen 1 és 2 milliárd EUR között alakulna. Egy-egy kis- és középvállalkozásnak 2500 és 5000 EUR közötti megfelelési költséggel kellene számolnia. Gazdasági hatások: A biztonsági szint megemelkedése következtében csökkenne a hálózat- és információbiztonsági kockázatoknak és eseményeknek betudható pénzügyi veszteség. Ez a vállalkozásokban és a fogyasztókban nagyobb bizalmat keltene a digitális világ iránt, és a belső piac javára válna. Ezenkívül a kockázatkezelési kultúra magas szintű művelésének meghonosodása vélhetően a biztonságos IKT-termékek és -megoldások iránti keresletet is serkentené. Társadalmi hatás: A biztonsági szint megemelkedése következtében az állampolgárok jobban megbíznának az internetben, így a digitális világ minden előnyét (például: közösségi média, e-tanulás, e-egészségügy) kihasználhatnák. 8.3. 3. lehetőség – Vegyes közelítésmód Biztonsági szint: Ahogy az 1. lehetőség esetében, itt sincs garancia arra, hogy az önkéntes kezdeményezések nyomán – a nemzeti hálózat- és információbiztonsági eszköztár és az uniós szintű együttműködés hatására – javulna a biztonsági szint. Másfelől azonban a közszervekkel és a magánszféra kulcsszereplőivel szemben támasztott követelmények erős ösztönzést jelentenének a biztonsági kockázatok eredményes kezelésére és felmérésére. Ezek a mechanizmusok azonban nem vezetnének eredményre azokban a tagállamokban, amelyek nem követik a hálózat- és információbiztonsági eszköztárra vonatkozóan a Bizottság által tett ajánlásokat. Gazdasági hatások: A fejlődés üteme jelentősen eltérne egyik tagállamról a másikra. A kevésbé fejlett tagállamok biztonsága nem érné el a szükséges szintet, ami versenyképességük és növekedésük rovására menne, és kiszolgáltatná őket a kockázatok és események negatív hatásainak. Társadalmi hatások: Az események, kockázatok és fenyegetések fennmaradása és várható súlyosbodása negatívan befolyásolná az online szolgáltatásokba vetett bizalmat, különösen azokban a tagállamokban, amelyek a hálózat- és információbiztonságot nem tekintik prioritásnak. 9. A lehetőségek összehasonlítása Az 1. és a 3. lehetőség nem tekinthető alkalmasnak a politikai célkitűzések elérésére, ezért alkalmazásuk nem ajánlott, mivel eredményességük attól függ, hogy az önkéntességen alapuló közelítésmód valóban a hálózat- és információbiztonság minimális szintre emelkedését eredményezi-e, illetőleg – a 3. lehetőség esetében – attól is, hogy a tagállamok készséget mutatnak-e eszköztáruk bővítésére és a határokon átnyúló együttműködésre. A 2. lehetőség a választott megoldás, mivel alkalmazásával jelentős javulás érhető el az uniós fogyasztóknak, vállalkozásoknak és kormányoknak a hálózat- és információbiztonsági események, fenyegetések és kockázatok elleni védelmében. Az Európai Unió ráadásul azáltal, hogy saját ügyeit rendezi, egyúttal nemzetközi szinten is jobban érvényesülhet, és még hitelesebb kétoldalú és többoldalú együttműködési partnerré válhat. Az Európai Unió így az alapjogokat és az Európai Unió alapvető értékeit is sikeresebben képviselhetné. 10. Nyomon követés és értékelés A hatásvizsgálati jelentés 10. fejezete felsorolja a célkitűzések irányába tett előrehaladás néhány fő mutatóját. Néhány példa ilyen mutatókra: · az 1. célkitűzés esetében azon tagállamok száma, amelyek kijelölték a hálózat- és információbiztonsági ügyekben illetékes hatóságot, CERT-et hoztak létre, illetőleg nemzeti kiberbiztonsági stratégiát és kiberbiztonsági zavarelhárítási/készenléti tervet fogadtak el, · a 2. célkitűzés esetében a hálózatban részt vevő tagállami illetékes hatóságok és CERT-ek száma, valamint a hálózat- és információbiztonsági kockázatokról és eseményekről a hálózaton keresztül megosztott információ volumene, · a 3. célkitűzés esetében a magánszféra kulcsszereplői és a közszervek hálózat- és információbiztonsági beruházásainak szintje és a jelentős hatású hálózat- és információbiztonsági eseményekről történt bejelentések száma. [1] COM(2010) 517, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2010:0517:FIN:HU:PDF