BENDRAS KOMUNIKATAS EUROPOS PARLAMENTUI IR TARYBAI

Europos Sąjungos skaitmeninio dešimtmečio kibernetinio saugumo strategijos įgyvendinimo ataskaita

I.Kaip niekada svarbus kibernetinis atsparumas, veiklos pajėgumai ir atvirumas

Pasaulyje po pandemijos diegiant pažangesnes ir žalesnes technologijas būtina užtikrinti kibernetinį saugumą. Kibernetinis saugumas apskritai yra būtina ES saugumo sąlyga ir vienas iš saugumo sąjungos ramsčių. Socialiniam, politiniam ir ekonominiam vystymuisi reikalingas technologinis suverenumas ir pasaulinė atvira ir saugi kibernetinė erdvė, grindžiama teisinės valstybės principu ir pagarba žmogaus teisėms ir pagrindinėms laisvėms. Ši samprata buvo pagrindinė 2020 m. gruodžio 16 d. priimto Komisijos ir Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai bendro komunikato dėl Europos Sąjungos skaitmeninio dešimtmečio kibernetinio saugumo strategijos prielaida. Kibernetinių išpuolių grėsmė kyla visiems ypatingos svarbos subjektams. Pastarųjų šešių mėnesių įvykiai yra patvirtinimas, kad strategijoje pagrįstai daugiausia dėmesio skiriama būtinybei sparčiau vykdyti reguliavimo reformas, susijusias su investicijomis ir bendru operatyviniu atsaku.

Iš pastaruoju metu įvykdytų kibernetinių išpuolių visų pirma matyti, kad daugėja plataus masto operacijų, kai pasitelkiama išpirkos reikalavimo programinė įranga, ir kibernetinio šnipinėjimo atvejų ir kad išpuolių rizika didėja visuose ekonomikos sektoriuose ir visai visuomenei. Tokių incidentų būta neeilinio masto: per išpuolius prieš „Microsoft Exchange“ sistemą sutrikdyta šimtų tūkstančių serverių veikla, įsilaužus į įmonės „SolarWinds“ tinklą „Orion“ galėjo nukentėti 18 000 organizacijų, pasitelkiant išpirkos reikalavimo programinę įrangą įvykdžius išpuolį prieš Airijos sveikatos priežiūros tarnybą pavogti šimtų pacientų neskelbtini duomenys ir sutrikdytas medicinos paslaugų teikimas, per kibernetinį išpuolį prieš bendrovės „Colonial Pipeline“ sąskaitų išrašymo sistemą susiklostė ekstremalioji padėtis dėl degalų trūkumo ir pavogta labai daug duomenų, taip pat buvo sutrikdyta didžiausio pasaulyje jautienos tiekėjo veikla. Nors visas padarytos žalos mastas tebėra neaiškus, iš kiekvieno incidento aiškiai matyti galimos plataus masto piktybinio naudojimosi informacinių ir ryšių technologijų produktų, paslaugų, sistemų ir tinklų pažeidžiamumu pasekmės. Galima manyti, kad tokių kibernetinių išpuolių poveikis didės ir jie bus vykdomi dažniau ir kad jie darys neigiamą poveikį mūsų saugumui.

Todėl labai svarbu, kad Europos Sąjunga, kaip nustatyta strategijoje, visais lygmenimis – teisėkūros, veiklos, investicijų ir diplomatiniu – sparčiau darytų pažangą. Turėtų būti kuo greičiau priimti pasiūlymai dėl Direktyvos dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti (TIS 2 direktyvos), dėl Direktyvos dėl ypatingos svarbos subjektų atsparumo, taip pat dėl Reglamento ir Direktyvos dėl skaitmeninės veiklos atsparumo. Atsižvelgiant į tai, labai svarbu vadovautis plataus užmojo požiūriu, visų pirma tiekimo grandinių atžvilgiu, turint omenyje tai, kaip per pastaruosius kibernetinius išpuolius pažeidžiamumas buvo atsektas iki programinės įrangos pardavėjų, ir imtis priemonių, kuriomis būtų užtikrinamas viešojo administravimo institucijų atsparumas ir greitai pranešama apie incidentus. Kaip niekada anksčiau būtina sukurti saugumo operacijų centrų (SOC) tinklą, kad būtų galima anksti nustatyti kibernetinių išpuolių požymius, taip pat parengti patikimą, veiksmingą ir bendrą ES atsaką į didelius incidentus, be kita ko, veiklos lygmeniu, šiuo tikslu pasitelkiant Jungtinį kibernetinio saugumo padalinį. Atsižvelgiant į tai, kad valstybiniai arba valstybės remiami subjektai rengia daugiau kibernetinių išpuolių, Jungtinėse Tautose turi būti toliau skatinamas atsakingas valstybių elgesys, be kita ko, palaikant dialogą kibernetikos klausimais ir struktūriškai keičiantis informacija su regioninėmis organizacijomis, įskaitant Afrikos Sąjungą, ASEAN regioninį forumą, Amerikos valstybių organizaciją (OAS) ir Europos saugumo ir bendradarbiavimo organizaciją (ESBO), taip pat imantis veiksmingų diplomatinių veiksmų, kuriais būtų siekiama užkirsti kelią piktavališkam elgesiui kibernetinėje erdvėje, nuo jo atgrasyti ir į jį reaguoti. Ypač svarbu bus bendradarbiauti su panašių pažiūrų trečiosiomis šalimis ir įgyvendinti transatlantinės darbotvarkės prioritetus; visų pirma reikėtų toliau nagrinėti ES ir JAV bendradarbiavimo konkrečiais kibernetinio saugumo aspektais, įskaitant keitimąsi informacija ir kovą su išpirkos reikalavimu panaudojant tam skirtą programinę įrangą, galimybes.

II.Pirmųjų šešių įgyvendinimo mėnesių apžvalga

Įgyvendinant keletą strateginių veiksmų jau padaryta nemaža pažanga.

II.1. Atsparumas, technologinis suverenumas ir lyderystė

Šiuo metu tiekimo grandinėms ir ypatingos svarbos infrastruktūrai visame pasaulyje, įskaitant su COVID-19 pandemija kovojančias ligonines, kyla nuolatinė rizika, kad prieš jas bus įvykdyti kibernetiniai išpuoliai. Komisija padeda teisės aktų leidėjams užtikrinti, kad būtų greitai priimta siūloma TIS direktyvos reforma, nes ja bus visų pirma išplėsta sveikatos priežiūros sektoriaus apsauga, įtraukiant mokslinių tyrimų laboratorijas ir ypatingos svarbos medicinos prietaisų ir bei vaistų gamybą, ir užtikrinamas tokios naujos energetikos sektoriaus veiklos kaip vandenilio gamyba, centralizuotas šilumos tiekimas, elektros energijos gamyba ir centrinės naftos atsargų saugyklos, saugumas.

2021 m. gegužės 20 d. buvo priimtas Reglamentas, kuriuo įsteigiamas Kibernetinio saugumo kompetencijos centras ir Nacionalinių koordinavimo centrų tinklas. Pagal šį reglamentą bus telkiami ES, valstybių narių ir pramonės ištekliai, siekiant gerinti ir stiprinti technologinius ir pramoninius kibernetinio saugumo pajėgumus, didinti ES atvirą strateginį savarankiškumą ir suteikti galimybę stiprinti dalį su kibernetiniu saugumu susijusios veiklos, finansuojamos programos „Europos horizontas“, Skaitmeninės Europos programos ir Ekonomikos gaivinimo ir atsparumo didinimo priemonės lėšomis, – per kitus šešerius metus bus skirta iš viso 4,5 mlrd. EUR. Tai padės iki 2023 m. sukurti ankstyvo kibernetinių išpuolių aptikimo ES kibernetinį skydą – saugumo operacijų centrų, kurie gali būti vieši arba privatūs, tinklą, kuriame ketinama naudotis dirbtiniu intelektu grindžiamomis priemonėmis. Kelios valstybės narės tokių nacionalinių centrų įsteigimą yra įtraukusios į atitinkamus ekonomikos gaivinimo ir atsparumo didinimo planus. Komisija šias pastangas papildys skirdama lėšų iš Skaitmeninės Europos programos ir padės juos laipsniškai susieti tarpusavyje. Įgyvendinant finansines programas taip pat bus remiama iniciatyva „EuroQCI“, kuria siekiama sukurti visą ES, įskaitant jos užjūrio teritorijas, apimančią saugią kvantinę ryšių infrastruktūrą, šiuo tikslu pasitelkiant geriausią antžeminių ir kosmoso technologijų derinį, ir numatyta speciali biudžeto eilutė kibernetiniam atsparumui sveikatos priežiūros sektoriuje remti.

5G kibernetinio saugumo užtikrinimas yra nuolatinis procesas, neatsiejamas nuo laipsniško 5G ryšio diegimo ir ES 5G priemonių rinkinio įgyvendinimo. Dauguma valstybių narių jau taiko arba netrukus pradės taikyti atitinkamų apribojimų 5G ryšio tiekėjams nustatymo sistemas. Į nacionalinę teisę perkeliant Elektroninių ryšių kodeksą griežtinami judriojo ryšio tinklo operatoriams taikomi reikalavimai, o ES kibernetinio saugumo agentūra (ENISA) rengia potencialią 5G ryšio tinklams skirtą ES kibernetinio saugumo sertifikavimo schemą. Nagrinėdamos naujas 5G ryšio tiekimo grandinės tendencijas ir pokyčius, valstybių narių institucijos nusprendė pagal ES priemonių rinkinį pradėti išsamią atvirų, išskaidytų ir sąveikių tinklo technologijų sprendimų (atvirojo radijo prieigos tinklo, angl. Open RAN) poveikio saugumui analizę. Šio darbo rezultatais bus dar labiau prisidedama prie suderinto ES požiūrio į 5G tinklų saugumą rengimo.

Reikia dėti daugiau pastangų, visų pirma įgyvendinant ES skaitmeninio švietimo veiksmų planą, siekiant spręsti tokias problemas kaip didžiulis kvalifikuotų darbuotojų trūkumas (prognozuojama, kad iki 2022 m. visame pasaulyje bus beveik 2 mln., o vien tik Europoje – 350 000 laisvų kibernetinio saugumo srities darbo vietų) ir itin mažas šioje srityje dirbančių moterų skaičius (pasaulyje moterys sudaro tik 11 proc. visų kibernetinio saugumo sektoriaus darbuotojų, o Europoje dar mažiau – 7 proc.). Įgyvendinant kitas politikos iniciatyvas vykdomi būsimų iniciatyvų, susijusių su daiktų interneto saugumu, parengiamieji darbai ir, kalbant apie interneto standartus, kuriamos ne pelno domenų vardų keitimo paslaugos (iniciatyva „DNS4EU“).

II.2. Veiklos pajėgumų, susijusių su prevencija, atgrasymu ir reagavimu, stiprinimas

Daugėjant valstybinių ir valstybių remiamų, taip pat nusikaltėlių vykdomų išpuolių prieš tinklus ir informacines sistemas ir vis dažniau naudojantis neskelbtinos informacijos duomenų bazėmis, ES reikalingi glaudesni kibernetinių bendruomenių tarpusavio ryšiai. Jos turi nuosekliai reaguoti į civilinius, baudžiamuosius, diplomatinius ir su gynyba susijusius didelio masto kibernetinių išpuolių, kurie pastaruoju metu vykdomi prieš daugybę pažeidžiamų ekonomikos sektorių, aspektus. Todėl, siekiant įgyvendinti keturių etapų veiksmus, išdėstytus kartu su šia ataskaita priimtoje Komisijos rekomendacijoje dėl Jungtinio kibernetinio saugumo padalinio – tolesnio veiksmų koordinavimo ir ES reagavimo į kibernetines grėsmes spragų panaikinimo mechanizmo – sukūrimo, reikalingos visų bendruomenių pastangos. Kovos su kibernetiniais nusikaltimais srityje pasiektas politinis susitarimas dėl laikinų kovos su seksualine prievarta prieš vaikus internete taisyklių (jos bus netrukus priimtos), o naujojoje Komisijos kovos su organizuotu nusikalstamumu strategijoje daug dėmesio skiriama būtinybei aprūpinti teisėsaugą jai reikalingomis skaitmeninėmis priemonėmis. 2020 m. vasario mėn. Komisija taip pat priėmė Civilinės, gynybos ir kosmoso pramonės sinergijos veiksmų planą, į kurį įtrauktas naujas pavyzdinis ES kosminės pasaulinės saugaus ryšio sistemos sukūrimo projektas. Juo siekiama visiems Europoje suteikti „prieigą prie didelės spartos ryšio“ ir užtikrinti „atsparią junglumo sistemą, leisiančią Europai neprarasti ryšio, kad ir kas atsitiktų“.

Tarptautiniu mastu, atsižvelgdamas į strateginiu kelrodžiu nustatytą plataus užmojo tikslą, vyriausiasis įgaliotinis šiuo metu rengia Kibernetinės gynybos politikos metmenų peržiūrą, kuri valstybėms narėms turi būti pristatyta 2021 m. antrąjį pusmetį. Vyriausiasis įgaliotinis, be kita ko, stiprindamas tarptautinį bendradarbiavimą, stengiasi didinti ES gebėjimus užkirsti kelią kibernetinei kenkimo veiklai, nuo jos atgrasyti ir į ją reaguoti. 2021 m. gegužės 17 d. Europos išorės veiksmų tarnyba (EIVT), bendradarbiaudama su Europos Sąjungos Tarybai pirmininkavusia Portugalija ir Europos Sąjungos saugumo studijų institutu (ESSSI), surengė įvairiais scenarijais grindžiamas diskusijas su ES valstybėmis narėmis ir tarptautiniais partneriais, kuriomis buvo siekiama gerinti atitinkamų kibernetinės kenkimo veiklos prevencijos, atgrasymo nuo jos ir reagavimo į ją diplomatinių metodų tarpusavio supratimą ir nustatyti galimybes toliau stiprinti tarptautinį bendradarbiavimą siekiant šio tikslo. Siekdama toliau stiprinti ES kibernetinės diplomatijos priemonių rinkinį, EIVT kaupia įgytą patirtį ir gali peržiūrėti Bendro ES diplomatinio atsako į kibernetinę kenkimo veiklą sistemos įgyvendinimo gaires.

Kaip paskelbta Europos Sąjungos skaitmeninio dešimtmečio kibernetinio saugumo strategijoje, Komisija pradeda tyrimą, kuriuo siekiama sukurti informuotumo didinimo priemones, skirtas didinti ES įmonių parengtį kovoti su kibernetinėmis intelektinės nuosavybės vagystėmis ir didinti atsparumą tokioms vagystėms. Komisija taip pat imasi aktyvesnių Direktyvos 2013/40/ES dėl atakų prieš informacines sistemas vykdymo užtikrinimo veiksmų – ji 2021 m. birželio mėn. prieš keletą valstybių narių pradėjo papildomas pažeidimo tyrimo procedūras. Prireikus Komisija apsvarstys galimybę imtis tolesnių veiksmų. Taip pat bus labai svarbu ugdyti geresnius ES darbo jėgos kibernetinio saugumo įgūdžius; šioje srityje pagrindinių veiksmų imsis Kibernetinio saugumo kompetencijos centras, siekdamas gerinti žinias ir gebėjimus, taip pat skatinti tarpdalykinius įgūdžius, kurie turi būti ugdomi kibernetinio saugumo srityje.

II.3. Pasaulinės atviros kibernetinės erdvės kūrimas

Grėsmių padėtį sunkina geopolitinė įtampa dėl pasaulinio atviro interneto ir dėl technologijų visoje tiekimo grandinėje. Dėl tokių veiksnių kaip internetui ir internete nustatomi apribojimai, didėjantis kibernetinės kenkimo veiklos mastas ir informacinių ir ryšių technologijų produktų ir paslaugų saugumui ir vientisumui neigiamą poveikį darantys aspektai kyla grėsmė pasaulinei atvirai kibernetinei erdvei, taip pat teisinės valstybės principui, žmogaus teisėms, pagrindinėms laisvėms ir demokratinėms vertybėms. Todėl vyriausiasis įgaliotinis kartu su valstybėmis narėmis stengiasi skatinti atsakingą valstybių elgesį kibernetinėje erdvėje, visų pirma kartu su kitais 53 rėmėjais Jungtinių Tautų lygmeniu sukurdamas Atsakingo valstybių elgesio skatinimo veiksmų programą, grindžiamą 2021 m. kovo 12 d. Jungtinių Tautų neribotos sudėties darbo grupės dėl atsakingo valstybių elgesio kibernetinėje erdvėje gerinimo tarptautinio saugumo kontekste konsensuso ataskaitoje pateiktomis rekomendacijomis. ES stengiasi stiprinti ir plėtoti santykius su trečiosiomis šalimis, tarptautinėmis ir regioninėmis organizacijomis, taip pat su įvairių suinteresuotųjų subjektų bendruomene palaikydama dialogą kibernetikos klausimais, kaip nustatyta strategijoje, ir kurdama ES kibernetinės diplomatijos tinklą. Be to, šiuo metu steigiama ES kibernetinių pajėgumų stiprinimo valdyba, suteiksianti galimybę ES institucijoms, įstaigoms ir agentūroms geriau koordinuoti veiksmus ir bendradarbiauti įgyvendinant ES išorės kibernetinių pajėgumų stiprinimo pastangas.