Współpraca unijna jest zatem niezbędna, aby móc poradzić sobie zarówno z incydentami cybernetycznymi o mniejszej skali, które jednak mogą się rozprzestrzeniać, jak i z ewentualnym atakiem cybernetycznym na dużą skalę w wielu państwach członkowskich. Unia Europejska musi włączyć aspekty bezpieczeństwa cybernetycznego do istniejących mechanizmów zarządzania kryzysowego. Musi ona również zapewnić mechanizmy skutecznej współpracy i szybkiej wymiany informacji między sektorami i państwami członkowskimi na potrzeby reagowania na takie incydenty i zapobiegania im. Ponadto mechanizmy te powinny działać jak jeden spójny system bezpieczeństwa cybernetycznego i zwalczania cyberprzestępczości, pomagający państwom członkowskim lepiej współpracować w walce z terroryzmem, przestępczością zorganizowaną i cyberprzestępczością. Zwiększyłoby to również zdolność UE do koordynowania działań z partnerami międzynarodowymi w celu skutecznego reagowania na zagrożenia i incydenty o wymiarze globalnym.

W strategii UE w zakresie bezpieczeństwa cybernetycznego, jak również w strategii jednolitego rynku cyfrowego, Komisja zobowiązała się do propagowania wzrostu podaży produktów i usług ze strony unijnego sektora bezpieczeństwa cybernetycznego. W związku z tym Komisja przyjmuje także decyzję torującą drogę ustaleniom umownym dotyczącym partnerstwa publiczno-prywatnego w dziedzinie bezpieczeństwa cybernetycznego, które to partnerstwo ma na celu wspieranie realizacji nowatorskiego europejskiego programu badań naukowych i innowacji w zakresie bezpieczeństwa cybernetycznego na rzecz większej konkurencyjności.

W strategii jednolitego rynku cyfrowego przyznano, że wciąż istnieją pewne luki w szybko rozwijającej się dziedzinie technologii i rozwiązań w zakresie bezpieczeństwa sieci. Jednocześnie badania rynkowe wskazują na to, że rynek wewnętrzny UE jest nadal podzielony geograficznie pod względem dostarczania produktów i usług z branży bezpieczeństwa cybernetycznego. W niniejszym komunikacie określono szereg środków polityki rynkowej mających na celu zlikwidowanie tych luk i sprostanie wyzwaniom w odniesieniu do jednolitego rynku.

Należy wzmocnić istniejące i uzgodnione mechanizmy współpracy, aby zwiększyć odporność i gotowość UE, w tym pod względem ewentualnego ogólnoeuropejskiego kryzysu w dziedzinie bezpieczeństwa cybernetycznego. Te mechanizmy współpracy powinny być kompleksowe i powinny obejmować cykl życia incydentu od zapobiegania do ścigania sprawców. Dla skutecznej współpracy między państwami członkowskimi i praktycznego wdrożenia wymogów dotyczących bezpieczeństwa w odniesieniu do krytycznych podmiotów niezbędne będzie również opracowanie przez ten sektor solidnych rozwiązań technicznych.

Ponadto Komisja zajmuje się również kwestią zdolności przemysłowych Unii Europejskiej w zakresie bezpieczeństwa cybernetycznego. Chociaż Europa być może nie opanowała jeszcze całego łańcucha wartości technologii cyfrowych, konieczne jest przynajmniej utrzymanie i rozwijanie pewnych podstawowych zdolności. Dostarczanie produktów i usług, które zapewniają najwyższy poziom bezpieczeństwa cybernetycznego, jest ważną szansą dla branży bezpieczeństwa cybernetycznego w Europie i mogłoby stać się silną przewagą konkurencyjną. Oczekuje się, że globalny rynek bezpieczeństwa cybernetycznego będzie jednym z najszybciej rozwijających się segmentów sektora technologii informacyjno-komunikacyjnych (ICT). Dążeniu do uczynienia z UE lidera w tej dziedzinie musi towarzyszyć silna kultura bezpieczeństwa danych, w tym danych osobowych, i skutecznego reagowania na incydenty. Będzie to mocnym argumentem przemawiającym za inwestowaniem w UE i przyczyni się do osiągnięcia ambitnych celów jednolitego rynku cyfrowego w zakresie wzrostu gospodarczego i zatrudnienia.

Incydenty w sferze bezpieczeństwa cybernetycznego codziennie powodują poważne szkody gospodarcze dla europejskich przedsiębiorstw i całej gospodarki i podważają zaufanie obywateli i przedsiębiorstw do społeczeństwa cyfrowego. Kradzież tajemnic przedsiębiorstwa, informacji handlowych i danych osobowych, zakłócanie świadczenia usług, w tym podstawowych, jak również zakłócanie funkcjonowania infrastruktury powoduje straty ekonomiczne rzędu setek miliardów euro rocznie. Mogą one również pociągać za sobą konsekwencje dla praw podstawowych i społeczeństwa jako całości.

Biorąc pod uwagę charakter i mnogość zagrożeń cybernetycznych, Komisja zachęca państwa członkowskie do maksymalnego wykorzystania mechanizmów współpracy w zakresie bezpieczeństwa sieci i informacji, które są obecnie do ich dyspozycji, a także do zacieśnienia współpracy transgranicznej związanej z gotowością na wypadek poważnego incydentu cybernetycznego. W ramach takiej dodatkowej współpracy w zakresie poważnego incydentu cybernetycznego przydatne byłoby stosowanie skoordynowanego podejścia do współpracy w sytuacjach kryzysowych pomiędzy różnymi elementami ekosystemu cybernetycznego. Takie podejście można opisać w planie działania, który powinien również zapewniać synergię i spójność z istniejącymi mechanizmami zarządzania kryzysowego. Następnie należy poddać ten plan działania regularnym testom w ramach ćwiczeń w zakresie zarządzania w sytuacji kryzysu cybernetycznego lub innej sytuacji kryzysowej. W planie tym uwzględniono by rolę organów na poziomie UE, takich jak: ENISA, CERT-UE i Europejskie Centrum ds. Cyberprzestępczości (EC3) przy Europolu, a także wykorzystano by narzędzia opracowane w ramach sieci CSIRT. W pierwszej połowie 2017 r. Komisja przedstawi grupie na rzecz współpracy, sieci CSIRT i innym zainteresowanym stronom do rozpatrzenia taki plan działania w zakresie współpracy.

Wiedza, w tym wiedza ekspercka, na temat bezpieczeństwa cybernetycznego jest obecnie dostępna na poziomie unijnym, ale w sposób rozproszony i niezorganizowany. W celu wspierania mechanizmów współpracy w zakresie bezpieczeństwa sieci i informacji należy gromadzić informacje w ośrodku informacji, aby były łatwo dostępne na życzenie dla wszystkich państw członkowskich. Ten ośrodek stałby się głównym źródłem informacji umożliwiającym instytucjom UE i państwom członkowskim wymianę informacji w stosownych przypadkach. Łatwiejszy dostęp do lepiej uporządkowanych informacji na temat ryzyka dla bezpieczeństwa cybernetycznego i potencjalnych środków zaradczych powinien pomóc państwom członkowskim poszerzyć ich zdolności i dostosować praktyki, a tym samym zwiększyć ogólną odporność na ataki. Komisja – przy wsparciu ze strony ENISA i CERT-UE oraz dzięki wiedzy eksperckiej swojego Wspólnego Centrum Badawczego – ułatwi tworzenie tego ośrodka i zapewni jego stabilność.

Ponadto na poziomie UE należy ustanowić regularną grupę doradczą wysokiego szczebla ds. bezpieczeństwa cybernetycznego złożoną z ekspertów i decydentów z sektora przemysłu, środowiska akademickiego, społeczeństwa obywatelskiego i innych właściwych organizacji. Grupa ta umożliwiłaby Komisji pozyskiwanie w otwarty i przejrzysty sposób zewnętrznej wiedzy eksperckiej i danych wejściowych dotyczących strategii Komisji w zakresie bezpieczeństwa cybernetycznego oraz ewentualnych regulacyjnych lub innych środków z zakresu polityki publicznej. Uzupełniałaby ona inne struktury w dziedzinie bezpieczeństwa cybernetycznego i byłaby z nimi połączona.

Ponadto Komisja jest zobowiązana do przeprowadzenia oceny ENISA do dnia 20 czerwca 2018 r., a ewentualna modyfikacja lub odnowienie mandatu ENISA musi nastąpić do dnia 19 czerwca 2020 r.. Ze względu na obecną sytuację w dziedzinie bezpieczeństwa cybernetycznego Komisja zamierza przyspieszyć ocenę i zależnie od jej wyników jak najszybciej przedstawić wniosek dotyczący nowego mandatu.

Przy ocenie ewentualnej konieczności zmiany mandatu ENISA Komisja weźmie pod uwagę wyżej opisane wyzwania w zakresie bezpieczeństwa cybernetycznego oraz ogólne wysiłki na rzecz zacieśnienia współpracy i wymiany wiedzy. Proces ten będzie okazją do zbadania ewentualnej potrzeby zwiększenia możliwości i zdolności ENISA w zakresie trwałego wspierania państw członkowskich w osiąganiu odporności pod względem bezpieczeństwa cybernetycznego. W refleksji nad mandatem ENISA należałoby ponadto uwzględnić nowe obowiązki tej agencji w ramach dyrektywy w sprawie bezpieczeństwa sieci i informacji; nowe cele polityki odnoszące się do wspierania sektora bezpieczeństwa cybernetycznego (strategię jednolitego rynku cyfrowego, a w szczególności ustalenia umowne dotyczące partnerstwa publiczno-prywatnego); zmieniające się potrzeby w zakresie bezpieczeństwa sektorów krytycznych i nowe wyzwania związane z incydentami transgranicznymi, w tym skoordynowane reagowanie na kryzysy cybernetyczne.

Komisja: -w pierwszej połowie 2017 r. przedłoży do rozpatrzenia plan działania w zakresie współpracy w odniesieniu do postępowania z incydentami cybernetycznymi na dużą skalę na poziomie UE; -ułatwi utworzenie ośrodka informacji mającego na celu wspieranie wymiany informacji między organami UE i państwami członkowskimi; -utworzy grupę doradczą wysokiego szczebla ds. bezpieczeństwa cybernetycznego oraz -zakończy ocenę ENISA do końca 2017 r. W ocenie tej zostanie uwzględniona potrzeba modyfikacji lub rozszerzenia mandatu ENISA, co umożliwi jak najszybsze przedstawienie odnośnego wniosku.

2.2 Zwiększenie wysiłków w zakresie kształcenia, szkoleń i ćwiczeń w dziedzinie bezpieczeństwa cybernetycznego

Odpowiednie umiejętności i szkolenie, związane zarówno z zapobieganiem incydentom w sferze bezpieczeństwa cybernetycznego, jak i z postępowaniem ze skutkami tych incydentów i ich łagodzeniem, należą do kluczowych aspektów, jeżeli chodzi o osiąganie odporności pod względem bezpieczeństwa cybernetycznego.

Obecnie ENISA, europejska grupa ds. szkolenia i edukacji w zakresie cyberprzestępczości (ECTEG), we współpracy z Europejskim Centrum ds. Cyberprzestępczości przy Europolu, oraz Europejskie Kolegium Policyjne (CEPOL) odgrywają ważną rolę w zapewnianiu wsparcia na potrzeby budowania zdolności – w tym w dziedzinie cybernetycznej kryminalistyki – poprzez opracowywanie podręczników i organizowanie szkoleń oraz ćwiczeń dotyczących bezpieczeństwa cybernetycznego.

Cyberprzestrzeń jest jednocześnie szybko rozwijającą się dziedziną, w której zdolności podwójnego zastosowania odgrywają istotną rolę. Dlatego konieczne jest rozwijanie współpracy cywilno-wojskowej i budowanie synergii w obszarze szkoleń i ćwiczeń, aby zwiększyć odporność i zdolności UE w zakresie reagowania na incydenty.

Aby odpowiedzieć na tę potrzebę, a także w ramach działań następczych związanych z przyjęciem dyrektywy w sprawie bezpieczeństwa sieci i informacji oraz ram polityki UE w zakresie cyberobrony, służby Komisji będą współpracowały z państwami członkowskimi, Europejską Służbą Działań Zewnętrznych (ESDZ), ENISA i innymi właściwymi organami UE w celu ustanowienia platformy na rzecz edukacji, ćwiczeń i szkoleń w dziedzinie bezpieczeństwa cybernetycznego, której zadaniem będzie propagowania synergii między szkoleniami cywilnymi a szkoleniami obronnymi.

Komisja: -będzie ściśle współpracowała z państwami członkowskimi, ENISA, ESDZ oraz innymi właściwymi organami UE w celu ustanowienia platformy szkoleń w dziedzinie bezpieczeństwa cybernetycznego.

2.3. Uwzględnienie współzależności międzysektorowych i odporności kluczowej publicznej infrastruktury sieciowej

Ważnym czynnikiem w ocenie ryzyka wystąpienia incydentu cybernetycznego na dużą skalę oraz skutków takiego incydentu jest stopień współzależności transgranicznych i międzysektorowych. Poważny incydent cybernetyczny w jednym sektorze lub w jednym państwie członkowskim może bezpośrednio lub pośrednio wpływać lub rozprzestrzeniać się na inne sektory lub na inne państwa członkowskie.

Współpraca transgraniczna i międzysektorowa ułatwia wymianę informacji i wiedzy eksperckiej, a tym samym osiągnięcie większej gotowości i odporności. Aby lepiej zrozumieć współzależności, Komisja wspierała działania w różnych sektorach poprzez wdrożenie europejskiego programu ochrony infrastruktury krytycznej.

Jednocześnie koniecznym warunkiem uwzględnienia ryzyka międzysektorowego jest zdolność poszczególnych sektorów do wykrywania incydentów cybernetycznych oraz przygotowania się i reagowania na nie. Komisja oceni ryzyko wynikające z incydentów cybernetycznych w wysoce współzależnych sektorach w obrębie granic państwowych i poza nimi, w szczególności w odniesieniu do sektorów objętych dyrektywą w sprawie bezpieczeństwa sieci i informacji, również z uwzględnieniem rozwoju sytuacji na szczeblu międzynarodowym. Po tej ocenie Komisja rozważy, czy istnieje potrzeba opracowania dalszych szczegółowych zasad lub wytycznych dotyczących gotowości na wypadek ryzyka cybernetycznego na potrzeby takich krytycznych sektorów.

Na szczeblu europejskim sektorowe ośrodki wymiany i analizy informacji (ang. Information Sharing and Analysis Centre, ISAC) oraz odpowiednie CSIRT mogą odgrywać kluczową rolę w przygotowaniu się na incydenty cybernetyczne i reagowaniu na nie. W celu zapewnienia skutecznego przepływu informacji na temat zmieniających się zagrożeń oraz ułatwienia reagowania na incydenty cybernetyczne należy zachęcać ośrodki wymiany i analizy informacji do współpracy z siecią CSIRT na mocy dyrektywy w sprawie bezpieczeństwa sieci i informacji oraz z Europejskim Centrum ds. Cyberprzestępczości przy Europolu i CERT-UE, a także właściwymi organami egzekwowania prawa.

Wymiana informacji między zainteresowanymi stronami oraz z organami podczas całego cyklu życia ryzyka cybernetycznego wymaga posiadania przez uczestników pewności, że nie narazi ich ona na odpowiedzialność. Komisja odnotowała szereg takich obaw, które powstrzymywały przedsiębiorstwa od udostępniania danych analitycznych dotyczących zagrożeń innym przedsiębiorstwom, innym sektorom lub organom, w szczególności na poziomie transgranicznym. Aby poprawić wymianę informacji na temat zagrożeń cybernetycznych, Komisja będzie dążyła do uwzględnienia i rozwiania takich obaw.

Zaufane kanały sprawozdawczości zapewniające poufność mają również kluczowe znaczenie dla zachęcania przedsiębiorstw do informowania o cyberkradzieży tajemnic przedsiębiorstwa. Umożliwiłoby to monitorowanie i ocenianie szkód poniesionych przez przemysł europejski (prowadzących także do spadku sprzedaży i utraty miejsc pracy) i instytucjom badawczym i pomogło w wypracowaniu odpowiedniej reakcji politycznej. Przy wsparciu ze strony ENISA, Urzędu Unii Europejskiej ds. Własności Intelektualnej (EUIPO) i EC3 przy Europolu Komisja utworzy – w porozumieniu z podmiotami prywatnymi – zaufane kanały do celów dobrowolnego zgłaszania cyberkradzieży tajemnic przedsiębiorstwa. Powinno to umożliwić kompilację danych przetworzonych w celu zachowania anonimowości i zagregowanych na poziomie UE. Dane te mogą być udostępniane państwom członkowskim w celu wspierania działań dyplomatycznych, jak również na potrzeby działań podnoszących świadomość, aby wspomóc ochronę unijnych wartości niematerialnych i prawnych przed szpiegostwem cybernetycznym.

W celu wsparcia sektorowego bezpieczeństwa cybernetycznego Komisja Europejska będzie również propagowała uwzględnianie kwestii bezpieczeństwa cybernetycznego przy opracowywaniu różnych unijnych polityk sektorowych ważnych dla tego bezpieczeństwa.