ZALECENIE KOMISJI (UE) 2017/1584

z dnia 13 września 2017 r.

w sprawie skoordynowanego reagowania na incydenty i kryzysy cybernetyczne na dużą skalę

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 292,

a także mając na uwadze, co następuje:

Wykorzystanie technologii informacyjno-komunikacyjnych i uzależnienie od nich zyskały podstawowe znaczenie we wszystkich sektorach działalności gospodarczej, gdyż przedsiębiorstwa i obywatele są wzajemnie bardziej powiązani i uzależnieni w wymiarze międzysektorowym i transgranicznym niż kiedykolwiek wcześniej. Incydent cybernetyczny mający negatywne skutki dla organizacji w więcej niż jednym państwie członkowskim, a nawet dla całej Unii, i mogący spowodować poważne zakłócenia w funkcjonowaniu rynku wewnętrznego oraz – w szerszym wymiarze – w funkcjonowaniu sieci i systemów informatycznych mających zasadnicze znaczenie dla gospodarki, demokracji i społeczeństwa, to scenariusz, na który państwa członkowskie i instytucje UE muszą być dobrze przygotowane.

Incydent cybernetyczny może zostać uznany za sytuację kryzysową na szczeblu Unii, jeżeli wywołane nim zakłócenia mają zbyt duży zakres, by państwo członkowskie, w którym doszło do tego incydentu, poradziło sobie z nim w pojedynkę, albo jeżeli dla dwóch lub większej liczby państw członkowskich ma on skutki o tak szerokim zakresie i o tak dużym znaczeniu technicznym lub politycznym, że wymaga on szybkiej koordynacji i reakcji na szczeblu politycznym Unii.

W konkluzjach (1) w sprawie ochrony krytycznej infrastruktury teleinformatycznej z dnia 27 maja 2011 r. Rada wezwała państwa członkowskie UE, aby wzmocniły wzajemną współpracę „i przyczyniły się, na podstawie doświadczeń i wyników krajowych w zakresie zarządzania kryzysowego oraz we współpracy z ENISA, do opracowania europejskich mechanizmów współpracy na wypadek incydentu cybernetycznego, które zostaną przetestowane w ramach następnego ćwiczenia Cyber Europe w 2012 roku”.

W komunikacie z 2016 r. „Wzmacnianie europejskiego systemu odporności cybernetycznej oraz wspieranie konkurencyjnego i innowacyjnego sektora bezpieczeństwa cybernetycznego” (2) zachęcono państwa członkowskie do maksymalnego wykorzystania mechanizmów współpracy ustanowionych dyrektywą w sprawie bezpieczeństwa sieci i informacji (3) oraz do zacieśnienia współpracy transgranicznej związanej z gotowością na wypadek incydentu cybernetycznego na dużą skalę. Dodano w nim, że skoordynowane podejście do współpracy w sytuacjach kryzysowych pomiędzy różnymi elementami ekosystemu cybernetycznego, które należałoby określić w planie działania, zwiększyłoby stopień gotowości, a taki plan działania powinien również zapewniać synergię i spójność z istniejącymi mechanizmami zarządzania kryzysowego.

W konkluzjach Rady (4) dotyczących wspomnianego wyżej komunikatu państwa członkowskie wezwały Komisję do przedłożenia takiego planu (projektu) współpracy do rozważenia przez podmioty działające na podstawie dyrektywy w sprawie bezpieczeństwa sieci i informacji i inne zainteresowane strony. We wspomnianej dyrektywie nie określono jednak ram współpracy unijnej w przypadku incydentów i kryzysów cybernetycznych na dużą skalę.

Orientowanie się w czasie rzeczywistym w sytuacji, podejmowanym ryzyku i w zagrożeniach oraz ich zrozumienie, uzyskane dzięki zgłoszeniom, ocenom, badaniom, dochodzeniom i analizom, jest niezbędne do podejmowania świadomych decyzji. Taka orientacja sytuacyjna – u wszystkich zainteresowanych stron – ma kluczowe znaczenie w zapewnianiu skutecznej i skoordynowanej reakcji. Orientacja sytuacyjna obejmuje informacje zarówno o przyczynach, jak i skutkach oraz źródle incydentu. Powszechnie przyjmuje się, że taką orientację można osiągnąć tylko w drodze wymiany i udostępniania przez zainteresowane strony informacji w odpowiednim formacie, przy użyciu wspólnej taksonomii do opisu incydentu oraz w sposób zapewniający odpowiedni poziom bezpieczeństwa.

PRZYJMUJE NINIEJSZE ZALECENIE:

Państwa członkowskie powinny zapewnić, by ich krajowe mechanizmy zarządzania kryzysowego umożliwiały adekwatną reakcję na incydent cybernetyczny, jak również by określono w nich procedury konieczne do umożliwienia współpracy na szczeblu UE w oparciu o ramy unijne.

(1) Konkluzje Rady w sprawie ochrony krytycznej infrastruktury teleinformatycznej „Osiągnięcia i dalsze działania na rzecz globalnego bezpieczeństwa cyberprzestrzeni”, dokument 10299/11, Bruksela, 27 maja 2011 r.

(2) COM(2016) 410 final z dnia 5 lipca 2016 r.

(3) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz.U. L 194 z 19.7.2016, s. 1)..

(4) Dokument 14540/16 z dnia 15 listopada 2016 r.

(5) Więcej informacji na ten temat podano w sekcji 3.1 dodatku dotyczącego zarządzania kryzysowego, mechanizmów współpracy i podmiotów na szczeblu UE.

(6) Ibidem.

(7) Decyzja Rady 2014/496/WPZiB z dnia 22 lipca 2014 r. w sprawie aspektów wdrażania, działania i użytkowania europejskiego globalnego systemu nawigacji satelitarnej mających wpływ na bezpieczeństwo Unii Europejskiej (Dz.U. L 219 z 25.7.2014, s. 53).

(8) W opracowaniu; oczekuje się, że zostaną przyjęte do końca 2017 r.

(9) Wytyczne te mają zostać opracowane do końca 2017 r.

(10) Konkluzje Rady w sprawie ram wspólnej unijnej reakcji dyplomatycznej na szkodliwe działania cybernetyczne („zestaw narzędzi dla dyplomacji cyfrowej”), dokument 9916/17.

(11) Wspólny dokument roboczy służb „Unijny protokół operacyjny do celów przeciwdziałania zagrożeniom hybrydowym” („Unijny podręcznik taktyczny”), SWD(2016) 227 final z dnia 5 lipca 2016 r.

(12) Dokument 15283/16 z dnia 6 grudnia 2016 r.

(17) Porady o charakterze technicznym co do przyczyn incydentu i możliwych środków zaradczych.

(15) Oznaka naruszenia integralności systemu (wskaźnik kompromitacji (IOC)) – w kryminalistyce informatycznej jest to artefakt zaobserwowany w sieci lub w systemie operacyjnym, który z dużym prawdopodobieństwem wskazuje na zainfekowanie komputera. Typowymi IOC są sygnatury wirusów i adresy IP, hasze MD5 plików złośliwego oprogramowania bądź URL lub nazwy domen i serwerów typu C&C (ang. command and control) do zarządzania botnetami.

(10) „Zezwolenie na działanie” – w warunkach kryzysu cybernetycznego szybki czas reakcji ma kluczowe znaczenie dla określenia właściwych działań zaradczych. Aby zapewnić ten szybki czas reakcji, państwo członkowskie może dobrowolnie udzielić innemu państwu członkowskiemu „zezwolenia na działanie” niezwłocznie i bez konsultacji z wyższymi poziomami lub instytucjami unijnymi i bez przechodzenia przez wszystkie normalnie wymagane oficjalne kanały, jeśli nie jest to wymagane w danym wypadku (np. CSIRT nie musi zasięgać konsultacji z podmiotami wyższego szczebla, aby przekazać cenne informacje do CSIRT w innym państwie członkowskim).

(9) Należy w tym miejscu zauważyć, że publiczne działania komunikacyjne mogą dotyczyć zarówno informacji o incydencie adresowanych do społeczeństwa jako całości, jak również przekazów, zawierających informacje o bardziej technicznym bądź operacyjnym charakterze, adresowanych do sektorów o krytycznym znaczeniu lub sektorów zaatakowanych. Może to wymagać wykorzystania poufnych kanałów komunikacyjnych i zastosowania specjalnych narzędzi technicznych lub platform. W każdym przypadku komunikacja z operatorami i przekaz informacji dla szerszego ogółu społeczeństwa w danym państwie członkowskim pozostaje w jego gestii i jest jego obowiązkiem. Dlatego też, zgodnie z przedstawioną wyżej zasadą pomocniczości, państwa członkowskie i krajowe CSIRT ponoszą ostateczną odpowiedzialność za informacje rozpowszechniane na terytorium danego państwa i kierowane do odbiorców objętych obszarem ich kompetencji.

(3) Decyzja Komisji (UE, Euratom) 2015/443 z dnia 13 marca 2015 r. w sprawie bezpieczeństwa w Komisji ( Dz.U. L 72 z 17.3.2015, s. 41 ) oraz decyzja Komisji (UE, Euratom) 2015/444 z dnia 13 marca 2015 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE ( Dz.U. L 72 z 17.3.2015, s. 53 ); decyzja Wysokiego Przedstawiciela Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa z dnia 19 kwietnia 2013 r. w sprawie przepisów bezpieczeństwa mających zastosowanie do Europejskiej Służby Działań Zewnętrznych; decyzja Rady 2013/488/UE z dnia 23 września 2013 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE ( Dz.U. L 274 z 15.10.2013, s. 1 ).

ENISA może być zaproszona do przedłożenia wkładu do technicznego badania ex post incydentu lub do przeprowadzenia tego badana zgodnie z przepisami swojego mandatu.

Etap 9 – Monitorowanie wpływu: Odpowiedzialna służba ISAA, z pomocą podmiotów wnoszących wkład do ISAA, przekazuje informacje na temat rozwoju sytuacji kryzysowej oraz wpływu na podejmowane decyzje polityczne. Taka pętla informacyjna wspomaga podlegający zmianom proces i wspiera decyzję prezydencji co do dalszego unijnego zaangażowania na poziomie politycznym lub wygaszania IPCR.

wytwarzanie ISAA jest kontynuowane w oparciu o współpracę na poziomie technicznym, operacyjnym i polityczno-strategicznym, w odniesieniu do orientacji sytuacyjnej, co również opisano wyżej w sekcji 1.

Etap 8 – Koordynacja polityczna i podejmowanie decyzji na szczeblu COREPERU/Rady: Wyniki posiedzeń COREPERU/Rady dotyczą koordynacji działań w ramach reagowania na wszystkich poziomach, decyzji co do zastosowania środków nadzwyczajnych, deklaracji politycznych itp. Decyzje te stanowią również zaktualizowane wskazówki polityczno-strategiczne do tworzenia kolejnych raportów ISAA.

Etap 5 – Wytworzenie ISAA: Inicjowane jest wytworzenie raportów ISAA. Komisja/ESDZ ogłosi raport zgodnie ze standardowymi procedurami operacyjnymi ISAA i może dalej wspierać wymianę informacji na platformie internetowej IPCR lub kierować konkretne prośby o udzielenie informacji. Raporty ISAA są dostosowane do potrzeb poziomu politycznego (tj. COREPERU lub Rady) określonych przez prezydencję oraz sformułowanych w jej wskazówkach, dzięki czemu zapewniają one strategiczny ogląd sytuacji i rzeczową dyskusję na temat punktów porządku obrad określonych przez prezydencję Zgodnie ze standardowymi procedurami operacyjnymi ISAA od charakteru kryzysu cybernetycznego zależy, czy raport zostanie przygotowany przez którąś ze służb Komisji (DG CNECT, DG HOME), czy przez ESDZ.

Etap 3 – Ocena sytuacji/decyzji w sprawie aktywacji IPCR: Prezydencja ocenia potrzebę koordynacji politycznej, wymiany informacji i podejmowania decyzji na szczeblu unijnym. W tym celu prezydencja może zwołać nieformalne posiedzenie okrągłego stołu. Prezydencja określa wstępnie obszary wymagające zaangażowania COREPERU lub Rady. Stanowi to podstawę wskazówek do stworzenia raportów na temat zintegrowanej orientacji i analizy sytuacyjnej (ISAA). Po uwzględnieniu cech kryzysu, jego możliwych konsekwencji oraz związanych z nim potrzeb politycznych prezydencja podejmuje decyzję co do stosowności zwołania posiedzeń odnośnych grup roboczych Rady lub COREPERU bądź KPiB.

Etap 2 – Analiza i doradztwo: W oparciu o dostępne dane z monitorowania i ostrzeżenia służby Komisji, ESDZ i SGR informują się nawzajem o możliwym rozwoju wypadków, aby utrzymać gotowość do zapewnienia prezydencji doradztwa co do ewentualnej aktywacji IPCR (w całości lub w trybie wymiany informacji).

Na każdym etapie określa się działania odnoszące się do bezpieczeństwa cybernetycznego i podmioty. Dla wygody czytelnika na każdym etapie zamieszczono fragment standardowych procedur operacyjnych IPCR, po czym wyszczególniono działania nałożone niniejszym planem. Takie podejście (krok po kroku) pozwala również na jednoznaczne wskazanie istniejących luk w ramach niezbędnego potencjału i procedur, które to luki utrudniają skuteczne reagowanie na kryzysy cybernetyczne.

prezydencja może zwołać posiedzenia okrągłego stołu w celu wsparcia jej przygotowań do posiedzeń COREPER lub KPiB, gromadzące odnośne zainteresowane strony z państw członkowskich, instytucje, agencje oraz strony trzecie, takie jak państwa spoza UE i organizacje międzynarodowe. Są to posiedzenia kryzysowe, mające na celu wskazanie wąskich gardeł i wysunięcie propozycji działań w odniesieniu do zagadnień przekrojowych,

Centrum Koordynacji Reagowania Kryzysowego (ERCC: działająca nieprzerwanie służba operacyjna zlokalizowana w DG ECHO) oraz wyznaczona służba odpowiedzialna (do wyboru między DG CNECT i DG HOME w zależności od charakteru danego incydentu), Sekretariat Generalny (ARGUS), DG HR (dyrekcja ds. bezpieczeństwa), DG DIGIT (operacje w zakresie bezpieczeństwa IT),

Zgoda co do kluczowych publicznych działań komunikacyjnych (9) : Komunikacja w sytuacji kryzysowej odgrywa istotna rolę w ograniczaniu negatywnych skutków incydentów i kryzysów cybernetycznych, może być też jednak stosowana jako środek wywierania wpływu na zachowanie (potencjalnych) agresorów. Odpowiedni przekaz może też służyć do jasnego zasygnalizowania prawdopodobnych konsekwencji reakcji dyplomatycznej w celu wywarcia wpływu na zachowanie agresora. Dostosowanie publicznych działań komunikacyjnych, mających na celu ograniczanie negatywnych skutków incydentów, i kryzysów cybernetycznych oraz przekazów, służących do wywierania wpływu na agresora, ma zasadnicze znaczenie dla skuteczności reagowania politycznego. W obszarze bezpieczeństwa cybernetycznego szczególnie istotne jest rozpowszechnianie dokładnych możliwych do zastosowania informacji o tym, w jaki sposób społeczeństwo może ograniczać skutki incydentu (np. przez zastosowanie poprawki zabezpieczeń, podejmowanie działań uzupełniających w celu uniknięcia zagrożenia itp.).

Umożliwienie skutecznego reagowania: Reagowanie może przybierać różne formy, od wskazania środków technicznych, które mogą dotyczyć co najmniej dwóch jednostek wspólnie badających techniczne przyczyny incydentu (np. analiza złośliwego oprogramowania), lub określenia sposobów, w jaki te organizacje mogą ocenić, czy zostały poszkodowane (np. oznaki naruszenia integralności systemu), do decyzji operacyjnych o zastosowaniu takich środków technicznych oraz – na poziomie politycznym – zadecydowania o uruchomieniu innych instrumentów, takich jak unijne działania dyplomatyczne w odpowiedzi na szkodliwe działania cybernetyczne („zestaw narzędzi dla dyplomacji cyfrowej”) bądź unijny protokół operacyjny do celów przeciwdziałania zagrożeniom hybrydowym – w zależności od incydentu.

Proporcjonalność: Przeważająca większość incydentów cybernetycznych uderzających w państwa członkowskie mieści się w kategorii znacznie niższej niż wszystko, co mogłoby zostać uznane za kryzys na szczeblu krajowym, nie mówiąc już o szczeblu europejskim. Podstawą współpracy państw członkowskich w odpowiedzi na tego rodzaju incydenty jest sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) ustanowiona dyrektywą w sprawie bezpieczeństwa sieci i informacji (2) . Krajowe zespoły współpracują i wymieniają się informacjami na zasadzie dobrowolności i codziennie, w razie potrzeby, reagując na incydenty cybernetyczne, które uderzają w co najmniej jedno państwo członkowskie, zgodnie ze standardowymi procedurami operacyjnymi (SPO) sieci CSIRT. Dlatego w planie należy w pełni wykorzystywać te standardowe procedury i uwzględnić w nim wszelkie dodatkowe konkretne działania odnoszące się do kryzysu cybernetycznego.

DODATEK

1. ZARZĄDZANIE KRYZYSOWE, MECHANIZMY WSPÓŁPRACY I PODMIOTY NA SZCZEBLU UE

Mechanizmy zarządzania kryzysowego

Zintegrowane uzgodnienia UE dotyczące reagowania na szczeblu politycznym w sytuacjach kryzysowych (IPCR) Zintegrowane uzgodnienia UE dotyczące reagowania na szczeblu politycznym w sytuacjach kryzysowych (IPCR), przyjęte przez Radę w dniu 25 czerwca 2013 r. (1), zostały opracowane w celu ułatwienia terminowej koordynacji i reakcji na unijnym szczeblu politycznym w przypadku poważnego kryzysu IPCR wspomagają również koordynację na poziomie politycznym w reakcji na odwołanie się do klauzuli solidarności (art. 222 TFUE), jak określono w decyzji Rady 2014/415/UE z dnia 24 czerwca 2014 r. w sprawie uzgodnień dotyczących zastosowania przez Unię klauzuli solidarności. W standardowych procedurach operacyjnych (SPO) (2) IPCR ustanowiono proces aktywacji i kolejne działania, które należy podjąć.

ARGUS: System koordynacji w sytuacji kryzysowej ustanowiony przez Komisję Europejską w 2005 r. w celu zapewnienia specjalnej procedury koordynacji w przypadku poważnego kryzysu o charakterze wielosektorowym. Jest on wspomagany przez ogólny system szybkiego ostrzegania (narzędzie informatyczne) o tej samej nazwie. W ramach systemu ARGUS przewiduje się dwa etapy; przy czym na etapie II (w przypadku poważnego kryzysu o charakterze wielosektorowym) zwoływane są spotkania Komitetu Koordynacji Kryzysowej (CCC) pod kierownictwem przewodniczącego Komisji lub komisarza, któremu powierzono to zadanie. CCC skupia przedstawicieli odnośnych dyrekcji generalnych Komisji, gabinetów i innych służb unijnych z zadaniem objęcia przewodnictwa i koordynowania reakcji Komisji na kryzys. Pod przewodnictwem zastępcy sekretarza generalnego CCC ocenia sytuację, rozważa warianty i podejmuje decyzje wykonawcze w odniesieniu do unijnych narzędzi i instrumentów w ramach kompetencji Komisji, a także zapewnia wykonanie tych decyzji (3) (4).

Mechanizm Reagowania Kryzysowego ESDZ: Mechanizm Reagowania Kryzysowego ESDZ jest zorganizowanym systemem, który umożliwia ESDZ reagowanie na sytuacje kryzysowe i wydarzenia nadzwyczajne o zewnętrznym charakterze lub istotnym wymiarze zewnętrznym – w tym na zagrożenia hybrydowe – potencjalnie lub rzeczywiście zagrażające interesom UE lub państw członkowskich. Dzięki zapewnieniu udziału właściwych urzędników Komisji oraz Sekretariatu Rady na posiedzeniach w ramach Mechanizmu Reagowania Kryzysowego ułatwione jest uzyskiwanie efektu synergii między wysiłkami dyplomatycznymi oraz działaniami w dziedzinie bezpieczeństwa i obrony a zarządzanymi przez Komisję instrumentami finansowymi i handlowymi oraz instrumentami współpracy. Komórka Kryzysowa może zostać aktywowana w czasie kryzysu.

Mechanizmy współpracy

Sieć CSIRT: Sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego skupia wszystkie krajowe i rządowe zespoły (CSIRT) oraz zespół reagowania na incydenty komputerowe w instytucjach i agencjach UE (CERT-UE). Celem tej sieci jest umożliwienie i usprawnienie wymiany informacji między CSIRT na temat zagrożeń i incydentów cybernetycznych, a także współpraca w zakresie reagowania na incydenty i kryzysy cybernetyczne.

Horyzontalna Grupa Robocza Rady ds. Cyberprzestrzeni: grupę roboczą powołano, aby zapewnić strategiczną i horyzontalną koordynację zagadnień polityki cybernetycznej w Radzie i może być ona zaangażowana zarówno w działalność prawodawczą, jak też działania o innym charakterze.

Podmioty

ENISA: Agencję Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji powołano w 2004 roku. Agencja ściśle współpracuje z państwami członkowskimi i sektorem prywatnym w celu zapewnienia doradztwa i rozwiązań w takich kwestiach, jak ogólnoeuropejskie ćwiczenia w zakresie bezpieczeństwa cybernetycznego, opracowanie krajowych strategii bezpieczeństwa cybernetycznego, współpracy CSIRT i rozwijania zdolności. ENISA współpracuje bezpośrednio z CSIRT w całej UE i stanowi sekretariat sieci CSIRT.

Centrum Koordynacji Reagowania Kryzysowego (ERCC): Centrum Koordynacji Reagowania Kryzysowego w Komisji (w ramach Dyrekcji Generalnej ds. Ochrony Ludności i Pomocy Humanitarnej – DG ECHO) wspiera i koordynuje szereg działań w dziedzinie zapobiegania, zapewnienia gotowości i reagowania przez siedem dni w tygodniu, 24 godziny na dobę. Uruchomione w 2013 r.Centrum działa jako centrum reagowania kryzysowego Komisji (w powiązaniu z innymi centrami kryzysowymi UE), w tym także jako działający nieprzerwanie główny punkt kontaktowy (IPCR 24/7).

Europol/EC3: Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3), które powstało w 2013 r. w ramach Europolu, wspiera reagowanie organów ścigania na przestępczość cybernetyczną w UE. EC3 oferuje operacyjne i analityczne wsparcie dochodzeń prowadzonych w państwach członkowskich i służy jako centralny węzeł informacji kryminalnych i wywiadowczych, wspomagając operacje i dochodzenia państw członkowskich przez analizę operacyjną, koordynację i wiedzę ekspercką, a także wysokospecjalistyczny potencjał technicznego i cyfrowego wsparcia kryminalistycznego.

CERT-UE: Zespół reagowania na incydenty komputerowe w instytucjach, organach i agencjach UE (CERT-UE) ma za zadanie poprawę ochrony instytucji, organów i agencji przed atakami i zagrożeniami cybernetycznymi. Zespół jest częścią sieci CSIRT. CERT-UE dysponuje technicznymi porozumieniami w zakresie wymiany informacji na temat zagrożeń cybernetycznych z NATO CIRC, niektórymi państwami trzecimi i głównymi podmiotami gospodarczymi w dziedzinie bezpieczeństwa cybernetycznego.

Unijna wspólnota wywiadowcza obejmuje Centrum Analiz Wywiadowczych UE (INTCEN) oraz Dyrekcję ds. Wywiadu w Sztabie Wojskowym UE (EUMS INT) w ramach porozumienia w sprawie pojedynczej komórki analiz wywiadowczych (SIAC). Misja SIAC polega na dostarczaniu analiz wywiadowczych, wczesnym ostrzeganiu i zapewnianiu orientacji sytuacyjnej Wysokiemu Przedstawicielowi UE ds. Spraw zagranicznych i polityki bezpieczeństwa oraz Europejskiej Służbie Działań Zewnętrznych (ESDZ). SIAC oferuje swoje usługi różnym podmiotom decyzyjnym UE ds. wspólnej polityki zagranicznej i bezpieczeństwa (WPZiB), wspólnej polityki bezpieczeństwa i obrony (WPBiO) i zwalczania terroryzmu (CT), a także państwom członkowskim. EU INTCEN i EUMS INT nie są agencjami operacyjnymi i nie posiadają zdolności gromadzenia danych. Działalność wywiadowcza na poziomie operacyjnym pozostaje w gestii państw członkowskich. SIAC zajmuje się jedynie analizą strategiczną.

Komórka UE ds. syntezy informacji o zagrożeniach hybrydowych We wspólnym komunikacie w sprawie przeciwdziałania zagrożeniom hybrydowym z kwietnia 2016 r. wyznaczono komórkę UE ds. syntezy informacji (EU HFC) jako główny ośrodek analizy informacji na temat zagrożeń hybrydowych w UE, pochodzących ze wszelkich źródeł: jej mandat został zatwierdzony w grudniu 2016 r. przez Komisję w drodze konsultacji pomiędzy służbami. Ulokowana w INTCEN komórka wchodzi w skład SIAC i w związku z tym współpracuje z EUMS INT i ma w swoim stałym składzie wojskowego. Działanie hybrydowe polega na zamierzonym wykorzystaniu przez państwo lub podmiot niebędący państwem kombinacji wielu ukrytych lub jawnych, wojskowych lub cywilnych narzędzi i mechanizmów, takich jak ataki cybernetyczne, kampanie dezinformacyjne, działania szpiegowskie, presja ekonomiczna, wykorzystanie innych podmiotów lub inne działania wywrotowe. EU HCF współpracuje z rozległą siecią pojedynczych punktów kontaktowych (PoC), zarówno w Komisji, jak i w państwach członkowskich, aby zapewnić zintegrowaną reakcję/zaangażowanie całego sektora administracyjnego, wymagane do przeciwstawienia się różnorodnym wyzwaniom.

EU SITROOM: Centrum Sytuacyjne UE stanowi element Centrum Analiz Wywiadowczych UE (EU INTCEN) i zapewnia ESDZ zdolność operacyjną niezbędną do natychmiastowego i skutecznego reagowania na sytuacje kryzysowe. Jest to stała cywilno-wojskowa komórka dyżurna, która prowadzi ogólnoświatowe monitorowanie i zapewnia orientację sytuacyjną przez siedem dni w tygodni, 24 godziny na dobę.

Odnośne instrumenty

Ramy wspólnej unijnej reakcji dyplomatycznej na szkodliwe działania cybernetyczne: Uzgodnione w czerwcu 2017 r. ramy stanowią element unijnego podejścia do dyplomacji cyfrowej, która przyczynia się do zapobiegania konfliktom, ograniczania zagrożeń dla bezpieczeństwa cybernetycznego oraz do wzrostu stabilności w stosunkach międzynarodowych. W ramach tych w pełni wykorzystuje się środki z obszaru wspólnej polityki zagranicznej i bezpieczeństwa, w tym w razie potrzeby środki ograniczające. Zastosowanie środków określonych w ramach współpracy powinno zachęcać do współpracy, sprzyjać ograniczaniu bezpośrednich i długofalowych zagrożeń i wpływać na zachowanie odpowiedzialnego sprawcy i potencjalnych agresorów w dalszej perspektywie.

2. KOORDYNACJA W PRZYPADKU KRYZYSU CYBERNETYCZNEGO W RAMACH UZGODNIEŃ IPCR – HORYZONTALNA WARSTWA KOORDYNACYJNA I POLITYCZNA ESKALACJA

Ustalenia IPCR mogą być (i są) wykorzystywane do rozwiązania kwestii technicznych i operacyjnych, ale zawsze z punktu widzenia politycznego/strategicznego.

W warunkach eskalacji IPCR można zastosować odpowiednio do poziomu kryzysu poprzez przejście od trybu „monitorowania” do trybu „wymiany informacji”, który jest pierwszym poziomem aktywacji IPCR, oraz do „pełnej aktywacji IPCR”.

Decyzję o aktywacji w trybie pełnym podejmuje aktualna prezydencja w Radzie UE. Komisja, ESDZ i SGR mogą aktywować IPCR w trybie wymiany informacji. W trybie monitorowania i wymiany informacji mogą zostać uruchomione różne poziomy wymiany informacji, przy czym w trybie wymiany informacji obowiązuje wytwarzanie raportów ISAA. Przy pełnej aktywacji IPCR do zestawu działań dochodzą posiedzenia okrągłego stołu, w których uczestniczy prezydencja (z reguły przewodniczący COREPERU II lub ekspert w danej dziedzinie w randze radcy Stałego Przedstawicielstwa, wyjątkowo posiedzenia okrągłego stołu odbywały się na szczeblu ministerialnym).

Podmioty

Aktualna prezydencja (zwykle przewodniczący COREPERU) sprawuje przewodnictwo.

W imieniu Rady Europejskiej: gabinet Przewodniczącego,

W imieniu Komisji Europejskiej: poziom SGK/DG lub eksperci w danej dziedzinie.

W imieniu ESDZ: poziom zastępcy SGK/DG lub eksperci w danej dziedzinie.

W imieniu SGK: gabinet SG, zespół IPCR oraz odpowiedzialne DG.

Zakres działań: Nakreślenie wspólnego zintegrowanego obrazu sytuacji i zwiększenie wiedzy na temat wąskich gardeł lub niedociągnięć na każdym z trzech poziomów w celu ich rozwiązania na poziomie politycznym; przygotowanie decyzji do podjęcia w czasie posiedzenia, jeżeli wchodzą one w zakres kompetencji uczestników, lub wysunięcie propozycji działań, przekazywanych do COREPERU II i dalej do Rady.

Wspólna orientacja sytuacyjna:

(IPCR nieaktywowane): Strony IPCR na potrzeby monitorowania mogą zostać wygenerowane, aby umożliwić śledzenie rozwoju sytuacji, która może przerodzić się w kryzys z konsekwencjami dla UE.

(tryb IPCR „wymiana informacji”): Służba odpowiedzialna za ISAA przygotowuje raporty ISAA na podstawie danych przekazanych przez służby Komisji, ESDZ i państwa członkowskie (za pośrednictwem formularzy IPCR).

(pełna aktywacja IPCR): Oprócz raportów ISAA na nieformalnych posiedzeniach okrągłego stołu w sprawie IPCR spotykają się różne odnośne podmioty z państw członkowskich, Komisja, ESDZ, odnośne agencje itp., aby omawiać niedociągnięcia i wąskie gardła.

Współpraca i reagowanie:

Aktywacja/synchronizacja dodatkowych mechanizmów/instrumentów zarządzania kryzysowego, zależnie od charakteru i wpływu incydentu. Mogą to być na przykład: Unijny Mechanizm Ochrony Ludności, ramy wspólnej unijnej reakcji dyplomatycznej na szkodliwe działania cybernetyczne lub „Wspólne ramy dotyczące przeciwdziałania zagrożeniom hybrydowym”.

Przekazywanie informacji w sytuacjach kryzysowych:

Sieć IPCR narzędzi komunikacji w sytuacjach kryzysowych może zostać uruchomiona przez prezydencję po konsultacjach z właściwymi służbami Komisji, Sekretariatu Generalnego Komisji i ESDZ w celu wsparcia wytwarzania wspólnych przekazów informacyjnych lub opracowania najskuteczniejszych narzędzi komunikacji.

3. ZARZĄDZANIE KRYZYSOWE W PRZYPADKU KRYZYSU CYBERNETYCZNEGO W RAMACH SYSTEMU ARGUS – WYMIANA INFORMACJI W RAMACH KOMISJI EUROPEJSKIEJ

W obliczu nieoczekiwanych sytuacji kryzysowych, które wymagały działania na szczeblu europejskim, tj. ataków terrorystycznych w Madrycie (w marcu 2004 r), tsunami w Azji Południowo-Wschodniej (w grudniu 2004 r.) i ataków terrorystycznych w Londynie (w lipcu 2005 r.), Komisja ustanowiła w 2005 r. system koordynacji ARGUS, wspomagany przez ogólny system szybkiego ostrzegania o tej samej nazwie (5) (6). Jego zadaniem jest zapewnienie specjalnego procesu koordynacji w sytuacjach kryzysowych w razie poważnego kryzysu o charakterze wielosektorowym w celu umożliwienia w czasie rzeczywistym wymiany informacji związanych z kryzysem oraz zagwarantowania szybkiego podejmowania decyzji.

W systemie ARGUS określono dwa etapy, w zależności od powagi zdarzenia:

Etap I: służy do „wymiany informacji” w przypadku sytuacji kryzysowej na ograniczoną skalę Przykłady zgłoszonych niedawno w etapie I zdarzeń obejmują pożary lasów w Portugalii i Izraelu, atak w Berlinie w 2016 r., powodzie w Albanii, huragan Matthew na Haiti oraz suszę w Boliwii. Każda DG może otworzyć etap I w przypadku gdy uzna, że sytuacja w obszarze jej kompetencji jest na tyle poważna, że należy zagwarantować wymianę informacji lub z niej korzystać. DG CNECT lub DG HOME mogą na przykład otworzyć etap I w przypadku gdy uznają, że sytuacja cybernetyczna w obszarze ich kompetencji jest na tyle poważna, że należy zagwarantować wymianę informacji lub z niej korzystać.

Etap II: jest uruchamiany w przypadku poważnego kryzysu o charakterze wielosektorowym lub też w obliczu przewidywanej bądź nieuchronnej groźby dla Unii Na etapie II uruchamia się specjalną procedurę koordynacyjną, która umożliwia Komisji podejmowanie decyzji i szybkie, skoordynowane i spójne reagowanie na najwyższym szczeblu w obszarze jej kompetencji i we współpracy z innymi instytucjami. Działania etapu II są przewidziane w odniesieniu do poważnego kryzysu o charakterze wielosektorowym lub też w obliczu przewidywanej bądź nieuchronnej groźby jego zaistnienia. Przykłady rzeczywistych wydarzeń objętych etapem II obejmują kryzys migracyjno-uchodźczy (2015 i nadal), potrójną katastrofę w elektrowni Fukushimie (2011) i wybuch wulkanu Eyjafjallajökull w Islandii (2010). Etap II jest uruchamiany jest przez Przewodniczącego z jego własnej inicjatywy lub na wniosek jednego z członków Komisji. Przewodniczący może przydzielić odpowiedzialność polityczną za reakcję Komisji komisarzowi odpowiedzialnemu za służby, których kryzys najmocniej dotyczy, lub zachować ją dla siebie. W ramach etapu II przewidziane są posiedzenia nadzwyczajne Komitetu Koordynacji Kryzysowej (CCC). Są one zwoływane w imieniu Przewodniczącego lub komisarza, któremu powierzono odpowiedzialność. Posiedzenia zwołuje SG za pomocą narzędzia informatycznego ARGUS. Komitet Koordynacji Kryzysowej jest specjalną strukturą operacyjną zarządzania kryzysowego, utworzoną w celu kierowania reakcją Komisji na sytuację kryzysową oraz jej koordynowania, skupiającą przedstawicieli wszystkich odpowiednich dyrekcji generalnych Komisji, gabinetów i innych służb unijnych. Komitetowi przewodniczy zastępca sekretarza generalnego. CCC ocenia sytuację, rozważa warianty i podejmuje decyzje, a także zapewnia wykonanie decyzji i działań, jednocześnie gwarantując spójność i konsekwencję reagowania. Wsparcie dla CCC zapewnia SG.

4. MECHANIZM REAGOWANIA KRYZYSOWEGO ESDZ

Mechanizm Reagowania Kryzysowego (MRK) ESDZ uruchamia się w razie zaistnienia poważnej sytuacji nadzwyczajnej, dotyczącej lub w inny sposób angażującej zewnętrzny wymiar UE. MRK jest aktywowany przez zastępcę sekretarza generalnego ds. reagowania kryzysowego po konsultacji z Wysokim Przedstawicielem/wiceprzewodniczącym Komisji lub Sekretarzem Generalnym. Zastępca sekretarza generalnego ds. reagowania kryzysowego może również zostać poproszony o uruchomienie mechanizmu reagowania kryzysowego przez Wysokiego Przedstawiciela/wiceprzewodniczącego komisji lub Sekretarza Generalnego bądź innego zastępcę SG lub jednostkę mediacji (MD).

MRK przyczynia się do spójności działań UE w reakcji na sytuacje kryzysowe w ramach strategii bezpieczeństwa. W szczególności MRK ułatwia uzyskiwanie efektu synergii między wysiłkami dyplomatycznymi oraz działaniami w dziedzinie bezpieczeństwa i obrony a zarządzanymi przez Komisję instrumentami finansowymi i handlowymi oraz instrumentami współpracy.

MRK jest powiązany z ogólnym systemem reagowania kryzysowego Komisji (ARGUS) oraz zintegrowanymi uzgodnieniami UE dotyczącymi reagowania na szczeblu politycznym w sytuacjach kryzysowych (IPCR); dzięki temu w przypadku jednoczesnej aktywacji możliwe jest wykorzystanie efektu synergii. Centrum Sytuacyjne UE w ramach ESDZ działa jako główny ośrodek komunikacyjny między ESDZ a systemami reagowania kryzysowego w Radzie i Komisji.

Z reguły pierwszym działaniem związanym z zastosowaniem MRK jest zwołanie posiedzenia kryzysowego z udziałem członków kierownictwa wyższego szczebla ESDZ, Komisji i Rady, bezpośrednio dotkniętych daną sytuacją kryzysową. Uczestnicy posiedzenia kryzysowego oceniają krótkookresowe skutki sytuacji kryzysowej i mogą uzgodnić podjęcie natychmiastowych działań bądź aktywować Komórkę Kryzysową lub powołać platformę kryzysową. Kroki te mogą zostać podjęte w dowolnej kolejności.

Komórka Kryzysowa jest centrum sytuacyjnym na niewielką skalę, w którym przedstawiciele ESDZ oraz służb Komisji i Rady zaangażowanych w reagowanie na sytuację kryzysową gromadzą się, aby stale monitorować sytuację w celu zapewnienia centrali ESDZ wsparcia w podejmowaniu decyzji. Po aktywowaniu Komórka Kryzysowa funkcjonuje w trybie ciągłym (7 dni w tygodniu, 24 godziny na dobę).

Platforma kryzysowa skupia odnośne służby ESDZ, Komisji i Rady w celu dokonania oceny średnio- i długookresowych skutków sytuacji kryzysowych oraz uzgodnienia działań, które należy podjąć. Przewodnictwo sprawuje Wysoki Przedstawiciel/wiceprzewodniczący Komisji lub Sekretarz Generalny bądź zastępca sekretarza generalnego ds. reagowania kryzysowego. Platforma kryzysowa ocenia skuteczność działania UE w odniesieniu do kraju lub regionu objętego kryzysem, decyduje o zmianach środków lub podjęciu dodatkowych działań i omawia propozycje działań Rady. Platforma kryzysowa to posiedzenie ad hoc; dlatego nie jest w stanie ciągłej aktywacji.

Grupa zadaniowa składa się z przedstawicieli służb zaangażowanych w reagowanie i można ją uruchomić w celu śledzenia działań podejmowanych przez UE w ramach reagowania oraz ułatwienia ich realizacji. Grupa ta ocenia wpływ działań podejmowanych przez UE, przygotowuje dokumenty polityczne i materiały na temat wariantów, wnosi wkład w przygotowanie ram podejścia kryzysowego (PFCAs), ma udział w strategii w zakresie komunikacji i przyjmuje wszelkie inne ustalenia, które mogą ułatwić realizację unijnych działań w odpowiedzi na sytuację.

5. DOKUMENTY ŹRÓDŁOWE

Poniżej znajduje się wykaz dokumentów źródłowych wziętych pod uwagę przy opracowywaniu planu.

— The European Cyber Crises Cooperation Framework (Europejskie ramy współpracy w zakresie kryzysów cybernetycznych), wersja 1, 17 października 2012 r.

— Report on Cyber Crisis Cooperation and Management (Sprawozdanie na temat współpracy i zarządzania kryzysowego na wypadek kryzysu cybernetycznego), ENISA, 2014.

— Actionable Information for Security Incident Response (Praktyczne informacje na potrzeby reagowania na incydent cybernetyczny), ENISA, 2014.

— Common practices of EU-level crisis management and applicability to cyber crises (Wspólne praktyki zarządzania kryzysowego na szczeblu UE i ich zastosowanie w przypadku kryzysów cybernetycznych), ENISA, 2015.

— Strategies for Incident Response and Cyber Crisis Cooperation (Strategie reagowania na incydenty i współpraca na wypadek kryzysu cybernetycznego), ENISA, 2016.

— EU Cyber Standard Operating Procedures (Standardowe procedury operacyjne UE w obszarze cybernetyki), ENISA, 2016.

— A good practice guide of using taxonomies in incident prevention and detection (Przewodnik po dobrych praktykach stosowania taksonomii w zapobieganiu incydentom i ich wykrywaniu), ENISA, 2017.

— Komunikat „Wzmacnianie europejskiego systemu odporności cybernetycznej oraz wspieranie konkurencyjnego i innowacyjnego sektora bezpieczeństwa cybernetycznego”, COM(2016) 410 final, 5.7.2016 r.

— Konkluzje Rady na temat wzmacniania europejskiego systemu odporności cybernetycznej oraz wspieranie konkurencyjnego i innowacyjnego sektora bezpieczeństwa cybernetycznego – konkluzje Rady (15 listopada 2016 r.), 14540/16.

— Decyzja Rady 2014/415/UE z dnia 24 czerwca 2014 r. w sprawie uzgodnień dotyczących zastosowania przez Unię klauzuli solidarności (Dz.U. L 192 z 1.7.2014, s. 53).

— Finalizacja procesu weryfikacji CCA: zintegrowane uzgodnienia UE dotyczące reagowania na szczeblu politycznym w sytuacjach kryzysowych (IPCR), 10708/13, 7 czerwca 2013 r.

— Zintegrowana orientacja i analiza sytuacyjna (ISAA) – standardowe procedury operacyjne, DS 1570/15, 22 października 2015 r.

— Przepisy Komisji w sprawie ogólnego systemu szybkiego ostrzegania „ARGUS”, COM(2005) 662 final, 23 grudnia 2005 r.

— Decyzja Komisji 2006/25/WE, Euratom z dnia 23 grudnia 2005 r. zmieniająca regulamin wewnętrzny Komisji (Dz.U. L 19 z 24.1.2006, s. 20).

— ARGUS Modus Operandi (Sposób działania systemu ARGUS), Komisja Europejska, 23 października 2013 r.

— Konkluzje Rady w sprawie ram wspólnej unijnej reakcji dyplomatycznej na szkodliwe działania cybernetyczne („zestaw narzędzi dla dyplomacji cyfrowej”), dokument 9916/17.

— EU operational protocol for countering hybrid threats „EU Playbook” (Unijny protokół operacyjny do celów przeciwdziałania zagrożeniom hybrydowym [„Unijny podręcznik taktyczny”]), SWD(2016) 227.

— Mechanizm reagowania kryzysowego ESDZ z dnia 8 listopada 2016 r. Ares(2017)880661. Wspólny dokument roboczy służb „Unijny protokół operacyjny do celów przeciwdziałania zagrożeniom hybrydowym” („Unijny podręcznik taktyczny”), SWD(2016) 227 final z dnia 5 lipca 2016 r.

— Wspólny komunikat do Parlamentu Europejskiego i Rady: Wspólne ramy dotyczące przeciwdziałania zagrożeniom hybrydowym – odpowiedź Unii Europejskiej, JOIN(2016) 18 final z dnia 6 kwietnia 2016 r.

— EEAS(2016) 1674 – Dokument roboczy Europejskiej Służby Działań Zewnętrznych – komórka UE ds. syntezy informacji o zagrożeniach hybrydowych – zakres zadań.

6. ELEMENTY ODNOSZĄCE SIĘ DO BEZPIECZEŃSTWA CYBERNETYCZNEGO W IPCR

(1) 10708/13 w sprawie „Finalizacji procesu weryfikacji CCA: koordynacji działań w sytuacjach nadzwyczajnych i kryzysowych”, przyjęta przez Radę w dniu 24 czerwca 2013 r.

(2) 12607/15 „Standardowe procedury operacyjne IPCR”, uzgodnione przez grupę przyjaciół prezydencji i odnotowane przez COREPER w październiku 2015 r.

(3) Przepisy Komisji w sprawie ogólnego systemu szybkiego ostrzegania „ARGUS”, COM(2005) 662 final, 23 grudnia 2005 r.

(4) Decyzja Komisji 2006/25/WE, Euratom z dnia 23 grudnia 2005 r. zmieniająca regulamin wewnętrzny Komisji (Dz.U. L 19 z 24.1.2006, s. 20), w sprawie ustanowienia ogólnego systemu szybkiego ostrzegania „ARGUS”.

(5) Komisja Europejska, dnia 23 grudnia 2005 r., Komunikat Komisji do Parlamentu Europejskiego, Rady, Europejskiego Komitetu Ekonomiczno-Społecznego i Komitetu Regionów: Ustalenia Komisji w sprawie bezpiecznego ogólnego systemu szybkiego ostrzegania „ARGUS”, COM(2005) 662 final.

(6) Decyzja 2006/25/WE, Euratom.