KOMISIJAS DIENESTU DARBA DOKUMENTS IETEKMES NOVĒRTĒJUMA KOPSAVILKUMS Pavaddokuments Priekšlikums Eiropas Parlamenta un Padomes Direktīvai par pasākumiem, kas nodrošinātu augsta līmeņa tīklu un informācijas drošību visā Savienībā /* SWD/2013/031 final */





KOMISIJAS DIENESTU DARBA DOKUMENTS IETEKMES NOVĒRTĒJUMA KOPSAVILKUMS Pavaddokuments Priekšlikums Eiropas Parlamenta un Padomes Direktīvai par pasākumiem, kas nodrošinātu augsta līmeņa tīklu un informācijas drošību visā Savienībā 1. Darbības joma Šis ietekmes novērtējums attiecas uz politikas risinājumiem, kuru mērķis ir uzlabot interneta un citu tīklu un informācijas sistēmu drošību, no kuriem ir atkarīgi pakalpojumi, kas ir būtiski mūsu sabiedrības funkcionēšanai (piemēram, valsts pārvaldes iestādes, banku un finanšu nozare, enerģētika, transports, veselības aprūpe un atsevišķi interneta pakalpojumi, kuriem ir būtiska nozīme svarīgākajos ekonomiskajos un sabiedriskajos procesos, piemēram, e-tirdzniecības platformas un sociālie tīkli). Šis jautājumu loks attiecas uz tīklu un informācijas drošību (TID). 2. Politikas konteksts TID pieaugošo nozīmi mūsu ekonomikas un sabiedrības kontekstā pirmo reizi Komisija atzina 2001. gadā. Lai ES nodrošinātu efektīvu augsta līmeņa TID, 2004. gadā Eiropas Kopiena nolēma izveidot Eiropas Tīklu un informācijas drošības aģentūru (ENISA). Līdz šim pieeja, ko Eiropas Savienība bija pieņēmusi TID jomā, galvenokārt tika īstenota, pieņemot virkni rīcības plānu un stratēģijas, kurās dalībvalstis tika mudinātas palielināt savas TID spējas un sadarboties, lai risinātu pārrobežu TID problēmas. Ar ieinteresētajām personām tika apspriesti dažādi iniciatīvas aspekti (problēmas definīcija un risinājumi pašreizējo trūkumu novēršanai); tās bija dažādu veidu apspriešanās: · sabiedriskā apspriešanās tiešsaistē „TID uzlabošana ES”, kas norisinājās no 2012. gada 23. jūlija līdz 15. oktobrim. Tiešsaistes aptaujā kopā tika saņemtas 169 atbildes, turklāt 10 atbildes Komisijai tika nosūtītas rakstveidā. · Apspriedes ar dalībvalstīm Dalībvalstu Eiropas forumā (EFMS), divpusējās sanāksmēs un ES konferencē par kiberdrošību, ko 2012. gada 6. jūlijā organizēja Komisija un Eiropas Ārējās darbības dienests. · Apspriedes ar privātā sektora uzņēmumiem un apvienībām saistībā ar Eiropas publiskā un privātā sektora partnerību infrastruktūru noturības jautājumos (EP3R) un divpusējās sanāksmēs. · Apspriedes ar ENISA un CERT-EU. · Apspriedes saistībā ar Digitalizācijas programmas 2012. gada asambleju. 3. Problēmas apraksts 3.1. Problēmas izklāsts Problēmu var raksturot šādi – kopumā nepietiekami augsta līmeņa aizsardzība pret tīklu un informācijas drošības incidentiem, riskiem un apdraudējumiem visā ES, kas kaitē iekšējā tirgus pienācīgai darbībai. Ņemot vērā, ka tīklu un informācijas sistēmas ir savstarpēji savienotas un internets būtībā ir globāls, daudzi TID incidenti sniedzas ārpus valsts robežām un apdraud iekšējā tirgus darbību. Notiekot drošības pārkāpumiem, piemēram, uzbrukumiem eBay un PayPal vietnēm, pārrobežu pakalpojumi var kļūt nepieejami, tikt apturēti vai pārtraukti. Nepieciešamība ātri rīkoties, lai novērstu problēmas un apmainītos ar informāciju par būtisku incidentu, atklājās pret Nīderlandes interneta sertifikācijas uzņēmumu Diginotar vērstajos uzbrukumos. Ņemot vērā notikušos incidentus, dalībvalstis sāk ieviest savus noteikumus. Nekoordinēta regulatīva iejaukšanās var radīt sadrumstalotību un iekšējā tirgus šķēršļus, radot ar atbilstības nodrošināšanu saistītas izmaksas tiem uzņēmumiem, kuri darbību veic vairāk nekā vienā dalībvalstī. Šī problēma ietekmē visus sabiedrības un ekonomikas līmeņus (valdības, uzņēmumus un patērētājus). Konkrēti, vairākās nozarēm ir būtiska loma, sniedzot nozīmīgus atbalsta pakalpojumus mūsu ekonomikas un sabiedrības vajadzībām, un šo nozaru sistēmu drošība ir īpaši svarīga iekšējā tirgus darbības nodrošināšanai. Šīs nozares ietver banku nozari, biržas pakalpojumus, enerģijas ražošanu, pārvadi un sadali, transportu (gaisa, dzelzceļa un jūras transports), veselības aprūpi, būtisku interneta pakalpojumu nodrošinātājus un valsts pārvaldes iestādes. Sabiedriskās apspriešanās norise apliecināja, ka ieinteresētās personas ļoti atbalsta TID jautājumu risināšanu šajās nozarēs un pasākumu veikšanu ES līmenī. Ja netiks pieņemti turpmāki pasākumi, kuru mērķis ir novērst pieaugošo incidentu skaitu, patērētāju uzticēšanās tiešsaistes pakalpojumiem varētu samazināties, apdraudot Digitalizācijas programmas mērķu sasniegšanu. 3.2. Problēmas cēloņi Izklāstīto problēmu radījuši dažādi faktori. Pirmkārt, ES nav vienlīdz augsts valsts spēju līmenis, un tas kavē uzticēšanās veidošanos speciālistu starpā, kas ir priekšnoteikums sadarbībai un informācijas apmaiņai. Otrkārt, nepietiekamā apmērā notiek informācijas apmaiņa par incidentiem, riskiem un apdraudējumiem. Tā kā, baidoties zaudēt savu reputāciju vai raizējoties par savām finansiālajām saistībām, uzņēmumi nelabprāt veic informācijas apmaiņu, par lielāko daļu TID incidentu netiek iesniegti ziņojumi, un tie tiek atstāti bez ievērības. Informācijas apmaiņa pašreizejās publiskā un privātā sektora partnerībās/platformās, piemēram, EFMS un EP3R, tiek veikta tikai paraugprakses kontekstā. 4. Pašreizējo pasākumu efektivitāte 4.1. Nepilnības pašreizējā tiesiskajā regulējumā Spēkā esošajos noteikumos nav paredzēts, ka struktūrvienībām, kuras nav telekomunikāciju uzņēmumi, jāpieņem TID riska pārvaldības pasākumi un jāziņo par TID incidentiem. Tomēr ar drošības riskiem saskaras visi dalībnieki, kuri paļaujas uz tīklu un informācijas sistēmām. Tas rada nevienlīdzīgus konkurences apstākļus, jo par vienu un to pasu incidentu, piemēram, telekomunikāciju pakalpojumu sniedzējam būtu jāpaziņo valsts kompetentajai iestādei, bet uzņēmumam, kas piedāvā IP balss pārraides pakalpojumus, tas nebūtu jādara. Visiem dalībniekiem, kas ir personas datu pārziņi (piemēram, bankas vai slimnīcas), datu aizsardzības tiesiskais regulējums uzliek pienākumu ieviest drošības pasākumus, kas ir samērīgi attiecībā pret riskiem. Taču datu pārziņiem ir jāziņo valsts uzraudzības iestādēm tikai par tiem drošības pārkāpumiem, kas apdraud personas datus. Padomes Direktīva 2008/114/EK par to, lai apzinātu un noteiktu Eiropas kritiskās infrastruktūras, attiecas tikai uz enerģētikas un transporta nozari, un līdz šim dalībvalstis ir apzinājušas tikai dažas Eiropas kritiskās infrastruktūras. Direktīva neuzliek pienākumus apsaimniekotājiem ziņot par būtiskiem drošības pārkāpumiem un neizveido mehānismus, kas dalībvalstīm izmantojami, lai sadarbotos un reaģētu uz incidentiem. Likumdevējas iestādes patlaban apspriež Komisijas priekšlikumu direktīvai par uzbrukumiem informācijas sistēmām[1]. Šis priekšlikums attiecas tikai uz kriminālatbildības noteikšanu par konkrētiem nodarījumu veidiem – tajā nav aplūkoti jautājumi par TID risku un incidentu novēršanu, reaģēšanu uz TID incidentiem un to ietekmes mazināšanu. 4.2. Ar brīvprātīgu pieeju saistītie ierobežojumi Līdz šim izmantojot brīvprātīgu pieeju, nav izdevies panākt vienlīdz augstu sagatavotības un sadarbības līmeni. EFMS pilnvaras ir ierobežotas, ņemot vērā, ka dalībvalstis neapmainās ar informāciju par incidentiem, riskiem un apdraudējumiem un nesadarbojas, lai apkarotu pārrobežu apdraudējumus. EFMS nav pilnvarota pieprasīt, lai tās dalībnieki nodrošinātu spēju minimumu. Šai aģentūrai nav operatīvo pilnvaru, un tā, piemēram, nevar iejaukties TID problēmu risināšanā. EP3R nav oficiāli noteikta par pastāvīgu struktūru, un tā nedrīkst prasīt, lai privātā sektora dalībnieki ziņotu valsts iestādēm par incidentiem. EP3R ietvaros nav izveidota sistēma, kurā būtu iespējama uzticama informācijas apmaiņa un informācijas paziņošana par TID apdraudējumiem, riskiem un incidentiem. 5. ES intervences nepieciešamība, subsidiaritāte un proporcionalitāte TID nodrošināšana ir īpaši svarīga, lai panāktu iekšējā tirgus pienācīgu darbību un ES sabiedrības labklājību. LESD 114. pants ir piemērots juridiskais pamats, lai visā ES saskaņotu TID prasības un ieviestu vienādi augstu minimālo drošības līmeni. Savienības iejaukšanos TID jomā pamato subsidiaritātes princips, jo šī ir pārrobežu problēma un ES līmeņa rīcības rezultātā uzlabosies pašreizējo valsts politikas pasākumu efektivitāte (un tādējādi – radīsies pievienotā vērtība). Lai nodrošinātu visu dalībvalstu sadarbību, ir jānodrošina, ka visās šajās valstīs ir vajadzīgais minimālais spēju līmenis. Turklāt ir skaidrs, ka saskaņoti un uz sadarbību vērsti TID politikas pasākumi var ļoti labvēlīgi ietekmēt pamattiesību efektīvu aizsardzību, jo īpaši tiesības uz personas datu aizsardzību un privātās dzīves neaizskaramību. Piemērotākajā risinājumā paredzētie pasākumi ir pamatoti arī no proporcionalitātes viedokļa, jo dalībvalstīm prasības noteiktas minimālajā nepieciešamajā līmenī, kas nepieciešams, lai nodrošinātu pienācīgu sagatavotību un īstenotu uz uzticēšanos balstītu sadarbību, un prasības uzņēmumiem un valsts pārvaldes iestādēm īstenot riska pārvaldību un ziņot par incidentiem ir izvirzītas tikai kritiskajām struktūrvienībām un paredz tādu pasākumu veikšanu, kas ir samērīgi attiecībā pret riskiem un attiecas uz incidentiem, kuriem ir būtiska ietekme. Turklāt piemērotākajā risinājumā paredzētie pasākumi neradītu nesamērīgas izmaksas. 6. Mērķi Vispārējais mērķis ir palielināt aizsardzības līmeni pret tīklu un informācijas drošības incidentiem, riskiem un apdraudējumiem visā ES. Konkrētie mērķi ir: · 1. mērķis – dalībvalstīs ieviest vienādi augstu minimālo TID līmeni un tādējādi uzlabot vispārējo sagatavotības un reaģēšanas līmeni. · 2. mērķis – ES līmenī uzlabot sadarbību TID jautājumos, lai efektīvi apkarotu pārrobežu incidentus un apdraudējumus. · 3. mērķis – izveidot riska pārvaldības kultūru un uzlabot informācijas apmaiņu starp privāto un publisko sektoru. 7. Politikas risinājumi Šajā ietekmes novērtējumā aplūkoti šādi politikas risinājumi: ierastā darbība, regulatīvā pieeja un jauktā pieeja. Iespējamais risinājums, kas paredzēja visu ES darbību pārtraukšanu TID jomā, ir svītrots. 7.1. Pirmais risinājums – ierastā darbība (pamatscenārijs) Komisija sadarbībā ar ENISA turpinātu pašreizējo brīvprātīgo pieeju, saskaņā ar kuru dalībvalstis ir aicinātas izveidot TID spējas valsts līmenī (piemēram, CERT, valsts kiberincidentu apkarošanas/situatīvos plānus, valsts kiberdrošības stratēģijas) un sadarboties ES līmenī (piemēram, izmantojot CERT tīklu visā Eiropā un Eiropas situatīvo/sadarbības plānu kiberincidentu gadījumos). 7.2. Otrais risinājums – regulatīvā pieeja Komisija pieprasītu visām dalībvalstīm nodrošināt vismaz minimālo valsts spēju līmeni (CERT, kompetentās iestādes, valsts kiberincidentu apkarošanas/situatīvie plāni, valsts kiberdrošības stratēģijas). Saskaņā ar šo regulatīvo risinājumu valsts kompetentās iestādes un CERT būtu daļa no ES līmeņa sadarbības tīkla. Šajā tīklā iestādes un CERT apmainītos ar informāciju un sadarbotos, lai apkarotu TID apdraudējumus un incidentus atbilstoši Eiropas situatīvajam/sadarbības plānam kiberincidentu gadījumos, par kuru dalībvalstīm būtu jāvienojas. Uzņēmumiem (izņemot mikrouzņēmumus), kuri darbojas konkrētās kritiskās infrastruktūras nozarēs, piemēram, banku nozarē, enerģētikā (elektroenerģija un dabasgāze), transporta nozarē, veselības aprūpē, būtisku interneta pakalpojumu nodrošināšanā un valsts pārvaldē, būtu jānovērtē riski, ar ko tie saskaras, un, ņemot vērā faktisko risku mērogu, jāpieņem piemēroti un samērīgi pasākumi. Turklāt šīm struktūrvienībām būtu jāziņo kompetentajām iestādēm par visiem incidentiem, kas nopietni apdraud to tīklu un informācijas sistēmu darbību un būtiski ietekmē no tīklu un informācijas sistēmām atkarīgo pakalpojumu sniegšanas un preču piegādes nepārtrauktību. Šī shēma ir sagatavota pēc parauga, kas sniegts Elektronisko komunikāciju pamatdirektīvas 13.a un 13.b pantā. 7.3. Trešais risinājums – jauktā pieeja Komisija apvienotu brīvprātīgās iniciatīvas, kuras ir atkarīgas no dalībvalstu labās gribas un kuru mērķis ir izveidot vai stiprināt dalībvalstu TID spējas un izveidot ES līmeņa sadarbības mehānismus, ar regulatīvajām prasībām, kas jāievēro galvenajiem privātā sektora dalībniekiem un valsts pārvaldes iestādēm. Brīvprātīgas iniciatīvas būtībā ir līdzīgas tām, kas veiktas saskaņā ar pirmo risinājumu, savukārt regulatīvās prasības būtu identiskas otrā risinājuma prasībām gan attiecībā uz attiecīgajām struktūrvienībām, gan pienākumu saturu. ENISA sniegtu atbalstu un nodotu tehnisko pieredzi Komisijai, dalībvalstīm un privātajam sektoram, piemēram, izdodot tehniskās pamatnostādnes un ieteikumus. 8. Ietekmes analīze Novērtējums attiecas ne vien uz drošības līmeni, bet arī uz šo trīs risinājumu ekonomisko un sociālo ietekmi. Tas attiecas arī uz izmaksām, kas rastos otrā un trešā risinājuma izmantošanas gadījumā. Nevienam no aplūkotajiem risinājumiem ietekme uz vidi nav precīzi paredzama. 8.1. Pirmais risinājums – ierastā darbība (pamatscenārijs) Drošības līmenis. Maz ticams, ka visas dalībvalstis varētu sasniegt salīdzināmu valsts spēju un sagatavotības līmeni, kāds nepieciešams drošības uzlabošanai un sadarbības īstenošanai un uzticamas informācijas apmaiņai ES līmenī. Attiecībā uz risku pārvaldību un labāku pārredzamību saistībā ar incidentiem vienlīdzīgus konkurences apstākļus neizdotos izveidot, un tādējādi regulējuma nepilnības pastāvētu arī turpmāk. Ekonomiskā ietekme. Ietekme būtu atkarīga no tā, cik lielā mērā dalībvalstis ievērotu Komisijas ieteikumus. Nepietiekami augsts drošības līmenis mazāk attīstītajās dalībvalstīs varētu apdraudēt to konkurētspēju un izaugsmi, pakļaujot šīs valstis riskiem un incidentiem. Ņemot vērā pašreizējās tendences, uzņēmumi un patērētāji varētu aizvien labāk pamanīt TID incidentus, kas kavētu iekšējā tirgus izveides pabeigšanu. Sociālā ietekme. Incidentu, risku un apdraudējumu turpināšanās un paredzamā palielināšanās negatīvi ietekmētu iedzīvotāju uzticēšanos tiešsaistes videi. 8.2. Otrais risinājums – regulatīvā pieeja Drošības līmenis. Dalībvalstīm uzliktie pienākumi nodrošinātu, ka tās visas būtu pienācīgi aprīkotas, un palīdzētu veidot savstarpējas uzticēšanās gaisotni, kas ir priekšnoteikums efektīvai sadarbībai ES līmenī. Ieviešot prasības valsts pārvaldes iestādēm un galvenajiem privātā sektora dalībniekiem veikt TID risku pārvaldību, tiktu radīts spēcīgs stimuls, lai efektīvi pārvaldītu drošības riskus un noteiktu to apmēru. Kopējās papildu izmaksas, kas visās ES nozarēs būtu jāsedz, lai varētu izpildīt šīs prasības, varētu svārstīties no 1 līdz 2 miljardiem euro. Ar atbilstības nodrošināšanu saistītas izmaksas, rēķinot uz vienu MVU, būtu no 2500 līdz 5000 euro. Ekonomiskā ietekme. Augstāks drošības līmenis samazinātu ar TID riskiem un incidentiem saistītos finanšu zaudējumus. Palielinātos uzņēmumu un patērētāju uzticēšanās digitālajai videi, sekmējot iekšējā tirgus darbību. Labākas riska pārvaldības kultūras veicināšana arī palielinātu pieprasījumu pēc drošiem IKT produktiem un risinājumiem. Sociālā ietekme. Augstāks drošības līmenis palielinātu iedzīvotāju uzticēšanos tiešsaistes videi un ļautu pilnībā izmantot digitālās vides sniegtās priekšrocības (piemēram, sociālie plašsaziņas līdzekļi, e-mācības, e-veselība). 8.3. Trešais risinājums – jauktā pieeja Drošības līmenis. Tāpat kā pirmajā risinājumā arī šajā gadījumā nav garantiju, ka, izmantojot brīvprātīgās iniciatīvas, uzlabotos ar valsts TID spējām un ES līmeņa sadarbību panāktais drošības līmenis. Savukārt drošības prasību ieviešana valsts pārvaldes iestādēm un galvenajiem privātā sektora dalībniekiem radītu spēcīgu stimulu, lai pārvaldītu drošības riskus un noteiktu to apmēru. Tomēr šie mehānismi nebūtu efektīvi tajās dalībvalstīs, kas neievērotu Komisijas ieteikumus par TID spēju izveidi. Ekonomiskā ietekme. Dalībvalstu attīstības temps būtu ievērojami atšķirīgs. Nepietiekami augsts drošības līmenis mazāk attīstītajās dalībvalstīs varētu apdraudēt to konkurētspēju un izaugsmi, pakļaujot šīs valstis risku un incidentu negatīvajai ietekmei. Sociālā ietekme. Incidentu, risku un apdraudējumu turpināšanās un paredzamā palielināšanās negatīvi ietekmētu uzticēšanos tiešsaistes videi, jo īpaši tajās dalībvalstīs, kuras neuzskata TID par prioritāti. 9. Risinājumu salīdzinājums Pirmais un trešais risinājums nav uzskatāms par lietderīgu politikas mērķu sasniegšanai, jo to efektivitāte būtu atkarīga no tā, vai brīvprātīgā pieeja faktiski nodrošinātu TID minimālo līmeni, turklāt trešais risinājums būtu atkarīgs no dalībvalstu labās gribas izveidot spējas un īstenot pārrobežu sadarbību; tādēļ šie risinājumi nav ieteicami, Priekšroka dodama otrajam risinājumam, jo saskaņā ar to būtiski uzlabotos ES patērētāju, uzņēmumu un valdību aizsardzība pret TID incidentiem, apdraudējumiem un riskiem. Turklāt, ieviešot kārtību Savienības mērogā, ES varētu paplašināt savu ietekmi starptautiskā mērogā un kļūt par vēl uzticamāku partneri divpusējā un daudzpusējā sadarbībā. Tādējādi arī ES spētu daudz labāk veicināt pamattiesības un ES pamatvērtības ārzemēs. 10. Uzraudzība un novērtēšana Ietekmes novērtējuma ziņojuma 10. nodaļā ir minēti vairāki galvenie progresa rādītāji, kas liecina par mērķu sasniegšanu. Šie rādītāji cita starpā ietver šādus. · Attiecībā uz pirmo mērķi – to dalībvalstu skaits, kurās ir noteikta TID kompetentā iestāde un CERT vai kuras ir pieņēmušas valsts kiberdrošības stratēģiju un valsts kiberincidentu apkarošanas/situatīvo plānu. · Attiecībā uz otro mērķi – to dalībvalstu kompetento iestāžu un CERT skaits, kas iekļautas tīklā, un tās informācijas apjoms, kura attiecas uz TID riskiem un incidentiem un kuras apmaiņa veikta ar tīkla starpniecību. Savukārt attiecībā uz trešo mērķi – to ieguldījumu līmenis, ko TID jomā veikuši galvenie privātā sektora dalībnieki un valsts pārvaldes iestādes, kā arī paziņojumu skaits par TID incidentiem, kuriem ir būtiska ietekme. [1] COM(2010) 517, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2010:0517:FIN:LV:PDF.