Šiuo pasiūlymu nustatoma sistema, kuria užtikrinamos bendros Sąjungos institucijų, įstaigų ir agentūrų kibernetinio saugumo taisyklės ir priemonės. Juo siekiama toliau didinti visų subjektų atsparumą ir reagavimo į incidentus pajėgumus. Jis atitinka Komisijos prioritetus užtikrinti, kad Europa prisitaikytų prie skaitmeninio amžiaus, ir kurti perspektyvią žmonėms tarnaujančią ekonomiką. Be to, saugaus ir atsparaus viešojo administravimo užtikrinimas yra skaitmeninės visos visuomenės pertvarkos kertinis akmuo.

2019–2021 m. labai padaugėjo reikšmingų incidentų, darančių poveikį Sąjungos institucijoms, įstaigoms ir agentūroms, kuriuos sukėlė vadinamieji aukšto lygio tęstinės grėsmės (advanced persistent threat, APT) subjektai. Per 2021 m. pirmąjį pusmetį reikšmingų incidentų įvyko tiek, kiek per visus 2020 m. Tai taip pat matyti iš to, kad 2020 m. CERT-EU išanalizuotų kriminalistinių vaizdų (paveiktų sistemų ar įrenginių turinio momentinių nuotraukų), palyginti su 2019 m., padaugėjo tris kartus, o reikšmingų incidentų skaičius, palyginti su 2018 m., išaugo daugiau nei dešimt kartų.

Be to, analizėje svarstyta, kokį poveikį vykstantys esminiai pokyčiai daro Sąjungos institucijų IT infrastruktūros ir paslaugų valdymo ir naudojimo būdams. Tokie pokyčiai apima:

Šiame reglamente siūlomomis taisyklėmis neviršijama to, kas būtina konkretiems tikslams tinkamai pasiekti. Numatytos priemonės padės pasiekti aukštą bendrą kibernetinio saugumo lygį neviršijant to, kas būtina tikslui pasiekti, atsižvelgiant į vis didesnę joms kylančią riziką.

Be to, kaip paaiškinta 3 skirsnyje, dabartiniai Sąjungos institucijų, įstaigų ir agentūrų kibernetinio saugumo būklės ir požiūrio kibernetinio saugumo srityje skirtumai yra dar viena kliūtis atvirai, veiksmingai ir nepriklausomai Europos administracijai. Jei nebūtų bendro požiūrio, Sąjungos institucijų, įstaigų ir agentūrų kibernetinio saugumo būklė toliau plėtotųsi skirtingomis kryptimis. Todėl šis teisinis pagrindas yra tinkamas, nes reglamentu siekiama sukurti Sąjungos institucijoms, įstaigoms, organams ir agentūroms skirtą bendrą kibernetinio saugumo teisinę sistemą.

Iš rinkos lyginamosios analizės ir tyrimų matyti, kad tiesioginės išlaidos kibernetiniam saugumui paprastai sudarė 4–7 proc. visų organizacijose patiriamų IT išlaidų. Vis dėlto iš CERT-EU atliktos grėsmių analizės, kuria grindžiamas šis pasiūlymas dėl teisėkūros procedūra priimamo akto, matyti, kad tarptautinės įstaigos ir politinės organizacijos susiduria su padidėjusia rizika, todėl 10 proc. IT išlaidų kibernetiniam saugumui lygis, regis, būtų tinkamesnis tikslas. Tiksliai nustatyti, kokios bus tokių pastangų sąnaudos, negalima, nes trūksta išsamios informacijos apie Sąjungos institucijų, įstaigų ir agentūrų IT išlaidas ir atitinkamą kibernetinio saugumo išlaidų dalį.

Sąjungos institucijos, įstaigos ir agentūros yra įpareigotos sukurti vidaus rizikos kibernetiniam saugumui valdymo ir kontrolės sistemą, kuria būtų užtikrintas veiksmingas ir apdairus visų kibernetinio saugumo rizikos veiksnių valdymas. Be to, institucijos, įstaigos ir agentūros turi patvirtinti pagrindinius kibernetinio saugumo standartus, kuriais siekiama mažinti pagal sistemą nustatytą riziką, reguliariai vykdo kibernetinio saugumo brandos vertinimą ir priima kibernetinio saugumo planą. (4–8 straipsniai)

atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 298 straipsnį,

atsižvelgdami į Europos atominės energijos bendrijos steigimo sutartį, ypač į jos 106a straipsnį,

atsižvelgdami į Europos Komisijos pasiūlymą,

teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams,

laikydamiesi įprastos teisėkūros procedūros,

kadangi:

(1)skaitmeniniame amžiuje informacinės ir ryšių technologijos yra atviros, veiksmingos ir nepriklausomos Sąjungos administracijos kertinis akmuo. Dėl technologijų raidos ir didesnio skaitmeninių sistemų sudėtingumo bei tarpusavio sąsajų didėja rizika kibernetiniam saugumui, todėl Sąjungos administracija tampa labiau pažeidžiama dėl kibernetinių grėsmių ir incidentų, o tai galiausiai kelia grėsmę administracijos veiklos tęstinumui ir pajėgumui apsaugoti savo duomenis. šiuo metu visai Sąjungos administracinių subjektų veiklai būdingas platus debesijos paslaugų naudojimas, visapusiškas informacinių technologijų naudojimas, skaitmeninimas, nuotolinis darbas ir besivystančios technologijos bei junglumas, tačiau skaitmeninis atsparumas dar užtikrintas nepakankamai;

(2)kibernetinių grėsmių, su kuriomis susiduria Sąjungos institucijos, įstaigos ir agentūros, padėtis nuolat kinta. Grėsmę keliančių subjektų naudojama taktika, metodai ir procedūros nuolat vystosi, tačiau aiškūs tokių išpuolių motyvai vargiai kinta: vertingos konfidencialios informacijos vagystės, pinigų pritrukimas, manipuliavimas viešąja nuomone ar kenkimas skaitmeninei infrastruktūrai. Jų kibernetinių išpuolių vykdymo tempas vis didėja, o jų kampanijos tampa vis sudėtingesnės ir automatizuotos ir yra nukreiptos į matomą išpuolių perimetrą, kuris toliau plečiasi ir kuriame greitai išnaudojamas pažeidžiamumas;

(3)Sąjungos institucijų, įstaigų ir agentūrų IT aplinkose yra tarpusavyje priklausomų elementų ir integruotų duomenų srautų, o jų naudotojai glaudžiai bendradarbiauja. Šis tarpusavio ryšys reiškia, kad bet koks sutrikimas, net jei iš pradžių jis susijęs tik su viena Sąjungos institucija, įstaiga ar agentūra, gali turėti platesnį pakopinį poveikį, o šis gali turėti plataus masto ir ilgalaikių neigiamų padarinių kitoms institucijoms. Be to, tam tikra institucijų, įstaigų ir agentūrų IT aplinka yra susijusi su valstybių narių IT aplinka, tad incidentas viename Sąjungos subjekte kelia pavojų atitinkamos valstybių narių IT aplinkos kibernetiniam saugumui ir atvirkščiai;

(4)Sąjungos institucijos, įstaigos ir agentūros yra patrauklūs taikiniai, kurie susiduria su aukštos kvalifikacijos ir išteklių turinčiais priešiškais subjektais ir kitomis grėsmėmis. Be to, tų institucijų, įstaigų ir agentūrų kibernetinio atsparumo lygis ir branda, gebėjimas aptikti kibernetinę kenkimo veiklą ir į ją reaguoti labai skiriasi. Todėl tam, kad Europos administracija veiktų, būtina, kad Sąjungos institucijos, įstaigos ir agentūros užtikrintų aukštą bendrą kibernetinio saugumo lygį, nustatydamos pagrindinius kibernetinio saugumo standartus (būtiniausias kibernetinio saugumo taisykles, kurias turi atitikti tinklų ir informacinės sistemos ir laikytis jų operatoriai bei naudotojai, kad būtų kuo labiau sumažinta rizika kibernetiniam saugumui), keistųsi informacija ir bendradarbiautų;

(5)Direktyva [pasiūlymas dėl TIS 2] dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti siekiama toliau didinti viešųjų ir privačiųjų subjektų, nacionalinių kompetentingų institucijų ir įstaigų ir visos Sąjungos kibernetinio saugumo sistemos atsparumą ir reagavimo į incidentus pajėgumus. Todėl būtina, kad Sąjungos institucijos, įstaigos ir agentūros to laikytųsi, užtikrindamos taisykles, kurios derėtų su Direktyva [pasiūlymu dėl TIS 2] ir atspindėtų jos užmojų mastą;

(6)aukštam bendram kibernetinio saugumo lygiui pasiekti būtina, kad kiekviena Sąjungos institucija, įstaiga ir agentūra nustatytų vidaus kibernetinio saugumo rizikos valdymo ir kontrolės sistemą, kuria būtų užtikrinamas veiksmingas ir apdairus visų rizikos kibernetiniam saugumui veiksnių valdymas ir atsižvelgiama į veiklos tęstinumą ir krizių valdymą;

(7)dėl Sąjungos institucijų, įstaigų ir agentūrų skirtumų įgyvendinimo srityje reikia lankstumo, nes vieno visiems tinkančio sprendimo nėra. Priemonės aukštam bendram kibernetinio saugumo lygiui užtikrinti neturėtų apimti jokių įpareigojimų, kuriais būtų tiesiogiai kišamasi į Sąjungos institucijų, įstaigų ir agentūrų užduočių vykdymą arba kėsinamasi į jų institucinį savarankiškumą. Todėl tos institucijos, įstaigos ir agentūros turėtų sukurti savo rizikos kibernetiniam saugumui valdymo ir kontrolės sistemas ir patvirtinti savo pagrindinius standartus bei kibernetinio saugumo planus;

(8)siekiant neužkrauti Sąjungos institucijoms, įstaigoms ir agentūroms finansinės ir administracinės naštos, rizikos kibernetiniam saugumui valdymo reikalavimai turėtų būti proporcingi rizikai, kurią kelia atitinkama tinklų ir informacinė sistema, atsižvelgiant į tokių priemonių modernumą. Kiekviena Sąjungos institucija, įstaiga ir agentūra turėtų siekti skirti tinkamą savo IT biudžeto procentinę dalį tikslui padidinti savo kibernetinio saugumo lygį; ilguoju laikotarpiu tam turėtų būti skiriama maždaug 10 proc. IT biudžeto;

(9)siekiant užtikrinti aukštą bendrą kibernetinio saugumo lygį kibernetinis saugumas turi būti prižiūrimas aukščiausiu kiekvienos Sąjungos institucijos, įstaigos ir agentūros valdymo lygmeniu; jose turėtų būti patvirtinti pagrindiniai kibernetinio saugumo standartai, kurie turėtų padėti mažinti riziką, nustatytą pagal kiekvienoje institucijoje, įstaigoje ir agentūroje sukurtą sistemą. Kibernetinio saugumo kultūra, t. y. kasdienė kibernetinio saugumo praktika, yra neatsiejama pagrindinių kibernetinio saugumo standartų visose Sąjungos institucijose, įstaigose ir įstaigose dalis;

(10)Sąjungos institucijos, įstaigos ir agentūros turėtų įvertinti riziką, susijusią su santykiais su tiekėjais ir paslaugų teikėjais, įskaitant duomenų saugojimo ir tvarkymo paslaugų teikėjus arba valdomas saugumo paslaugas, ir imtis tinkamų priemonių jai sumažinti. Šios priemonės turėtų būti pagrindinių kibernetinio saugumo standartų dalis ir jos turėtų būti išsamiau išdėstytos CERT-EU parengtose gairėse arba rekomendacijose. Nustatant priemones ir gaires reikėtų tinkamai atsižvelgti į atitinkamus ES teisės aktus ir politiką, įskaitant TIS bendradarbiavimo grupės pateiktus rizikos vertinimus ir rekomendacijas, pavyzdžiui, ES suderintą rizikos vertinimą ir ES 5G kibernetinio saugumo priemonių rinkinį. Be to, pagal konkrečias ES kibernetinio saugumo sertifikavimo schemas, priimtas pagal Reglamento (ES) 2019/881 49 straipsnį, galėtų būti reikalaujama sertifikuoti atitinkamus IRT produktus, paslaugas ir procesus;

(11)2011 m. gegužės mėn. Sąjungos institucijų ir įstaigų generaliniai sekretoriai nusprendė įsteigti Sąjungos institucijų, įstaigų ir agentūrų kompiuterinių incidentų tyrimo tarnybos (CERT-EU), kurią prižiūri tarpinstitucinė valdančioji taryba, išankstinės sudėties grupę. 2012 m. liepos mėn. generaliniai sekretoriai patvirtino praktinę tvarką ir sutarė išlaikyti CERT-EU kaip nuolatinį subjektą, kuris toliau padėtų gerinti bendrą Sąjungos institucijų, įstaigų ir agentūrų informacinių technologijų saugumo lygį, kaip matomo tarpinstitucinio bendradarbiavimo kibernetinio saugumo srityje pavyzdį. 2012 m. rugsėjo mėn. CERT-EU buvo įsteigta kaip Europos Komisijos darbo grupė, turinti tarpinstitucinius įgaliojimus. 2017 m. gruodžio mėn. Sąjungos institucijos ir įstaigos sudarė tarpinstitucinį susitarimą dėl CERT-EU organizavimo ir veiklos. Šis susitarimas turėtų būti toliau plėtojamas, siekiant remti šio reglamento įgyvendinimą.

(12)CERT-EU iš Sąjungos institucijų, įstaigų ir agentūrų kompiuterinių incidentų tyrimo tarnybos turėtų būti pervadinta į Kibernetinio saugumo centrą, atsižvelgiant į pokyčius valstybėse narėse ir visame pasaulyje, kur daugelis CERT pervadintos kibernetinio saugumo centrais, tačiau dėl pavadinimo atpažinimo paliekamas trumpasis pavadinimas „CERT-EU“;

(13)daugelis kibernetinių išpuolių yra platesnių kampanijų, nukreiptų prieš Sąjungos institucijų, įstaigų ir agentūrų grupes arba interesų bendruomenes, įskaitant Sąjungos institucijas, įstaigas ir agentūras, dalis. Kad būtų galima imtis aktyvaus aptikimo, reagavimo į incidentus ar rizikos mažinimo priemonių, Sąjungos institucijos, įstaigos ir agentūros turėtų pranešti CERT-EU apie reikšmingas kibernetines grėsmes, reikšmingą pažeidžiamumą bei reikšmingus incidentus ir dalytis tinkama technine informacija, kad būtų galima nustatyti arba sumažinti panašias kibernetines grėsmes, pažeidžiamumą ir incidentus kitose Sąjungos institucijose, įstaigose ir agentūrose arba į juos reaguoti. Vadovaujantis tokiu pačiu požiūriu, koks yra numatytas Direktyvoje [pasiūlymas dėl TIS 2], subjektui sužinojus apie didelį incidentą, jis privalėtų per 24 valandas pateikti pirminį pranešimą CERT-EU. Toks keitimasis informacija turėtų sudaryti sąlygas CERT-EU skleisti informaciją kitoms Sąjungos institucijoms, įstaigoms ir agentūroms, taip pat atitinkamiems partneriams, siekiant padėti apsaugoti Sąjungos IT aplinką ir Sąjungos partnerių IT aplinką nuo panašių incidentų, grėsmių ir pažeidžiamumo;

(14)CERT-EU turėtų būti ne tik pavesta daugiau užduočių ir išplėstas jos vaidmuo, bet taip pat turėtų būti įsteigta Tarpinstitucinė kibernetinio saugumo taryba (TKST), kuri turėtų padėti užtikrinti aukštą bendrą Sąjungos institucijų, įstaigų ir agentūrų kibernetinio saugumo lygį, stebint, kaip Sąjungos institucijos, įstaigos ir agentūros įgyvendina šį reglamentą, ir prižiūrint, kaip CERT-EU įgyvendina bendruosius prioritetus ir tikslus, bei numatant CERT-EU strateginę kryptį. TKST turėtų užtikrinti atstovavimą institucijoms ir į ją turėtų būti įtraukta agentūrų ir įstaigų atstovų, vykdančių veiklą per Sąjungos agentūrų tinklą;