WSPÓLNY KOMUNIKAT DO PARLAMENTU EUROPEJSKIEGO I RADY

Strategia UE w zakresie cyberbezpieczeństwa na cyfrową dekadę

I.WPROWADZENIE: CYBERBEZPIECZNA TRANSFORMACJA CYFROWA W ZŁOŻONYM ŚRODOWISKU ZAGROŻEŃ

Cyberbezpieczeństwo stanowi integralny element bezpieczeństwa Europejczyków. Obywatele muszą mieć pewność, że gdy korzystają z urządzeń podłączonych do internetu lub z sieci elektroenergetycznych, udają się do banku, lecą samolotem, korzystają z usług administracji publicznej czy leżą w szpitalu, są chronieni przed cyberzagrożeniami. Gospodarka, demokracja i społeczeństwo UE bardziej niż kiedykolwiek polegają na bezpiecznych i niezawodnych narzędziach cyfrowych i łączności. Cyberbezpieczeństwo ma zatem zasadnicze znaczenie dla budowania odpornej, ekologicznej i cyfrowej Europy.

Transport, energia i zdrowie, telekomunikacja, finanse, bezpieczeństwo, procesy demokratyczne, sektor kosmiczny i obronny są w dużym stopniu uzależnione od sieci i systemów informatycznych, które są w coraz większym stopniu wzajemnie połączone. Współzależności międzysektorowe są bardzo silne, ponieważ sieci i systemy informatyczne muszą z kolei być stale zasilane energią elektryczną, aby mogły funkcjonować. Liczba urządzeń podłączonych do internetu już teraz przewyższa liczbę mieszkańców planety, a przewiduje się, że do 2025 r. wzrośnie ona do 25 mld; jedna czwarta tych urządzeń będzie znajdować się w Europie. Cyfryzacja modeli pracy nabrała tempa w związku z pandemią COVID-19, podczas której 40 % pracowników UE przeszło na pracę zdalną, co prawdopodobnie wywarło trwały wpływ na życie codzienne. Zwiększa to podatność na cyberataki. W przedmiotach podłączonych do internetu, które trafiają do konsumentów, często występują stwierdzone podatności, co dodatkowo zwiększa powierzchnię ataku w ramach szkodliwych działań w cyberprzestrzeni. Przemysł unijny podlega coraz większej cyfryzacji i jest coraz bardziej połączony; oznacza to również, że cyberataki mogą mieć znacznie większy wpływ na gałęzie przemysłu i ekosystemy niż kiedykolwiek wcześniej.

Krajobraz zagrożeń pogarszają napięcia geopolityczne dotyczące kwestii globalnego i otwartego internetu oraz kontroli nad technologią w całym łańcuchu dostaw. W wyniku tych napięć coraz więcej państw wznosi granice cyfrowe. Ograniczenia dotyczące internetu i w internecie zagrażają globalnemu i otwartemu charakterowi cyberprzestrzeni, a także praworządności, prawom podstawowym, wolności i demokracji – podstawowym wartościom UE. Cyberprzestrzeń jest coraz częściej wykorzystywana do celów politycznych i ideologicznych, a wysoka polaryzacja na szczeblu międzynarodowym utrudnia skuteczny multilateralizm. Zagrożenia hybrydowe łączą kampanie dezinformacyjne z cyberatakami na infrastrukturę, procesy gospodarcze i instytucje demokratyczne, które mogą powodować szkody fizyczne, doprowadzać do uzyskania nielegalnego dostępu do danych osobowych, doprowadzać do kradzieży tajemnic przemysłowych lub państwowych, mogą zmniejszać poziom zaufania i osłabiać spójność społeczną. Działania te osłabiają bezpieczeństwo międzynarodowe i stabilność międzynarodową oraz zmniejszają korzyści, jakie cyberprzestrzeń stwarza dla rozwoju gospodarczego, społecznego i politycznego.

Ataki na infrastrukturę krytyczną stanowią poważne zagrożenie globalne. Internet ma strukturę zdecentralizowaną, bez centralnego ośrodka, i zarządza nim wiele zainteresowanych stron. Skutecznie poradził sobie z gwałtownym wzrostem natężenia ruchu, będąc jednocześnie regularnym celem szkodliwych prób zakłócenia jego działania. Jednocześnie w zakresie komunikacji i hostingu, aplikacji i danych rośnie zależność od podstawowych funkcji globalnego i otwartego internetu, takich jak system nazw domen (DNS), oraz podstawowych usług internetowych. Usługi te są w coraz większym stopniu skupione pod kontrolą kilku prywatnych przedsiębiorstw. Sytuacja ta powoduje, że europejska gospodarka i europejskie społeczeństwo są narażone na wstrząsy geopolityczne lub techniczne, które oddziałują na najważniejsze elementy internetu lub na jedno z tych przedsiębiorstw lub większą ich liczbę. Wzrost korzystania z internetu i zmiany wzorców spowodowane pandemią jeszcze bardziej obnażyły słabość łańcuchów dostaw, które polegają na tej infrastrukturze cyfrowej.

Obawy dotyczące bezpieczeństwa stanowią główny czynnik zniechęcający do korzystania z usług online. Około dwie piąte unijnych użytkowników napotyka problemy związane z bezpieczeństwem, a trzy piąte uważa, że nie jest w stanie uchronić się przed cyberprzestępczością . W ciągu ostatnich trzech lat jedna trzecia z nich otrzymała oszukańcze wiadomości e-mail lub odebrała telefony z prośbą o podanie danych osobowych, ale 83 % nigdy nie zgłosiło cyberprzestępstwa. Jedno na osiem przedsiębiorstw padło ofiarą cyberataków . Ponad połowa służbowych i prywatnych komputerów osobistych, które raz zostały zainfekowane złośliwym oprogramowaniem, została ponownie zainfekowana w ciągu tego samego roku. Każdego roku setki milionów zapisów wyciekają w wyniku naruszeń ochrony danych; średni koszt naruszenia dla pojedynczego przedsiębiorstwa wzrósł w 2018 r. do ponad 3,5 mln EUR . Skutków cyberataku często nie da się ograniczyć do odizolowanego obszaru i mogą one wywołać reakcje łańcuchowe w całej gospodarce i społeczeństwie, dotykając milionów osób .

Dochodzenia w sprawie niemal wszystkich rodzajów przestępstw mają element cyfrowy. W 2019 r. odnotowano trzykrotny wzrost liczby incydentów w ujęciu rok do roku. Szacowana liczba nowych przypadków złośliwego oprogramowania – najczęstszej metody prowadzenia cyberataku – wynosi 700 mln. Szacuje się, że w 2020 r. roczny koszt, jaki w związku z cyberprzestępczością ponosi gospodarka światowa, wyniesie 5,5 bln EUR, dwukrotnie więcej niż w 2015 r. Stanowi to największy przepływ majątku w historii, większy niż światowy handel narkotykami. W przypadku jednego poważnego incydentu – ataku za pomocą oprogramowania typu ransomware o nazwie „WannaCry” w 2017 r. – koszt dla gospodarki światowej oszacowano na ponad 6,5 mld EUR.

Usługi cyfrowe i sektor finansowy są jednymi z najczęstszych celów cyberataków, podobnie jak sektor publiczny i wytwórczy, ale gotowość i świadomość w zakresie cyberbezpieczeństwa wśród przedsiębiorstw i osób prywatnych są nadal niskie i istnieje znaczny niedobór umiejętności z zakresu cyberbezpieczeństwa wśród pracowników. W 2019 r. odnotowano blisko 450 cyberincydentów dotyczących europejskiej infrastruktury krytycznej, takiej jak infrastruktura finansowa i energetyczna. W czasie pandemii szczególnie mocno ucierpiały organizacje i pracownicy opieki zdrowotnej. Ponieważ związek technologii ze światem fizycznym staje się nierozerwalny, cyberataki zagrażają życiu i dobrostanowi osób najbardziej narażonych. Ocenia się, że ponad dwie trzecie przedsiębiorstw, w szczególności MŚP, nie ma doświadczenia w dziedzinie cyberbezpieczeństwa, a przedsiębiorstwa europejskie postrzega się jako gorzej przygotowane niż przedsiębiorstwa w Azji i Ameryce . Szacuje się, że w Europie 291 000 stanowisk specjalistów w dziedzinie cyberbezpieczeństwa pozostaje nieobsadzonych. Zatrudnianie i szkolenie ekspertów ds. cyberbezpieczeństwa to powolny proces, co naraża organizacje na zwiększone ryzyko w cyberprzestrzeni.

W UE brakuje zbiorowej orientacji sytuacyjnej dotyczącej cyberzagrożeń. Wynika to z faktu, że organy krajowe nie gromadzą informacji – takich jak informacje udostępniane przez sektor prywatny – i nie dzielą się nimi w sposób systematyczny, co mogłoby pomóc w ocenie stanu cyberbezpieczeństwa w UE. Państwa członkowskie zgłaszają tylko niewielką część incydentów, a wymiana informacji nie jest ani systematyczna, ani kompleksowa ; cyberataki mogą stanowić tylko jeden z aspektów zorganizowanych szkodliwych ataków na europejskie społeczeństwa. Obecnie państwa członkowskie udzielają sobie wzajemnie jedynie ograniczonej pomocy operacyjnej i nie istnieje żaden mechanizm operacyjny umożliwiający współpracę między państwami członkowskimi i instytucjami, agencjami i organami UE w przypadku zaistnienia transgranicznego cyberincydentu lub sytuacji kryzysowej na dużą skalę.

Poprawa cyberbezpieczeństwa jest zatem niezbędna, aby ludzie ufali innowacjom, łączności i automatyzacji, używali ich i czerpali z nich korzyści, a także aby zapewnić ochronę podstawowych praw i wolności, w tym prawa do prywatności i ochrony danych osobowych oraz wolności wypowiedzi i informacji. Cyberbezpieczeństwo jest niezbędne dla łączności sieciowej oraz globalnego i otwartego internetu, które muszą stanowić podstawę transformacji gospodarki i społeczeństwa w latach 20. XXI wieku. Przyczynia się ono do podnoszenia kwalifikacji i zwiększania zatrudnienia, tworzenia bardziej elastycznych miejsc pracy, bardziej wydajnego i zrównoważonego transportu i rolnictwa oraz łatwiejszego i sprawiedliwszego dostępu do świadczeń zdrowotnych. Ma również zasadnicze znaczenie dla przejścia na czystszą energię w ramach Europejskiego Zielonego Ładu dzięki transgranicznym sieciom i inteligentnym licznikom oraz dla uniknięcia niepotrzebnego przechowywania tych samych danych w wielu lokalizacjach. Ponadto ma zasadnicze znaczenie dla międzynarodowego bezpieczeństwa i międzynarodowej stabilności oraz dla rozwoju gospodarek, demokracji i społeczeństw na całym świecie. Rządy, przedsiębiorstwa i osoby prywatne muszą zatem korzystać z narzędzi cyfrowych w sposób odpowiedzialny i ze świadomością kwestii dotyczących bezpieczeństwa. Świadomość i higiena w zakresie cyberbezpieczeństwa muszą stanowić podstawę transformacji cyfrowej codziennej działalności.

Nowa strategia UE w zakresie cyberbezpieczeństwa na cyfrową dekadę stanowi kluczowy element kształtowania cyfrowej przyszłości Europy, przygotowanego przez Komisję planu odbudowy dla Europy, strategii UE w zakresie unii bezpieczeństwa na lata 2020–2025, globalnej strategii na rzecz polityki zagranicznej i bezpieczeństwa Unii Europejskiej oraz przygotowanego przez Radę Europejską Programu strategicznego na lata 2019–2024. Określono w niej sposób, w jaki UE będzie chronić swoich obywateli, swoje przedsiębiorstwa i instytucje przed cyberzagrożeniami, rozwijać współpracę międzynarodową oraz pełnić przewodnią rolę w gwarantowaniu globalnego i otwartego internetu.

II.GLOBALNE MYŚLENIE, EUROPEJSKIE DZIAŁANIE

Niniejsza strategia ma na celu zapewnienie globalnego i otwartego internetu, który posiada silne zabezpieczenia umożliwiające sprostanie zagrożeniom dla bezpieczeństwa i podstawowych praw i wolności Europejczyków. Opierając się na postępach osiągniętych w ramach poprzednich strategii, zawiera ona konkretne propozycje dotyczące stosowania trzech głównych instrumentów – instrumentów regulacyjnych, inwestycyjnych i politycznych – w celu zajęcia się trzema obszarami działań UE: 1) odpornością, suwerennością technologiczną i przywództwem, 2) budowaniem zdolności operacyjnych na potrzeby zapobiegania, odstraszania i reagowania oraz 3) rozwojem globalnej i otwartej cyberprzestrzeni. UE zamierza wspierać tę strategię za pomocą realizowanych na bezprecedensową skalę inwestycji w transformację cyfrową UE w ciągu najbliższych siedmiu lat – potencjalnie czterokrotnie większych niż dotychczas – w ramach nowej polityki technologicznej i przemysłowej oraz programu odbudowy.

Cyberbezpieczeństwo należy włączyć do wszystkich tych inwestycji cyfrowych, w szczególności dotyczących kluczowych technologii, takich jak sztuczna inteligencja (AI), szyfrowanie i kwantowe technologie obliczeniowe, stosując zachęty, nakładając obowiązki i stosując poziomy odniesienia. Może to pobudzić rozwój europejskiego sektora cyberbezpieczeństwa i dać pewność potrzebną do ułatwienia stopniowego wycofywania dotychczasowych systemów. Europejski Fundusz Obronny (EFO) będzie wspierał europejskie rozwiązania w zakresie cyberobrony w ramach europejskiej bazy technologiczno-przemysłowej sektora obronnego. Cyberbezpieczeństwo uwzględniono w instrumentach finansowania zewnętrznego służących do wspierania partnerów UE, w szczególności w Instrumencie Sąsiedztwa oraz Współpracy Międzynarodowej i Rozwojowej. Zapobieganie niewłaściwemu wykorzystaniu technologii, ochrona infrastruktury krytycznej oraz zapewnienie integralności łańcuchów dostaw umożliwiają również UE przestrzeganie norm, reguł i zasad ONZ dotyczących odpowiedzialnego zachowania państw.

1. ODPORNOŚĆ, SUWERENNOŚĆ TECHNOLOGICZNA I PRZYWÓDZTWO

Unijna infrastruktura krytyczna i usługi podstawowe stają się coraz bardziej współzależne i nabierają coraz bardziej cyfrowego charakteru. Wszystkie urządzenia podłączone do internetu w UE, czy to pojazdy zautomatyzowane, systemy kontroli przemysłowej, czy też urządzenia gospodarstwa domowego, a także całe łańcuchy dostaw, z których te urządzenia pochodzą, muszą być tworzone w sposób uwzględniający bezpieczeństwo na etapie projektowania, być odporne na cyberincydenty i szybko aktualizowane w przypadku wykrycia podatności. Ma to zasadnicze znaczenie dla zapewnienia unijnemu sektorowi prywatnemu i publicznemu możliwości dokonania wyboru spośród najbezpieczniejszych infrastruktur i usług. Najbliższe dziesięciolecie jest dla UE szansą na odegranie wiodącej roli w rozwijaniu bezpiecznych technologii w całym łańcuchu dostaw. W celu zapewnienia odporności i większych możliwości przemysłowych i technologicznych w zakresie cyberbezpieczeństwa należy uruchomić wszystkie niezbędne instrumenty regulacyjne, inwestycyjne i polityczne. Uwzględnianie cyberbezpieczeństwa na etapie projektowania w odniesieniu do procesów, działalności i urządzeń przemysłowych może zmniejszyć ryzyko oraz potencjalnie obniżyć koszty ponoszone przez przedsiębiorstwa i społeczeństwo, a tym samym zwiększyć odporność.