Europejski kodeks łączności elektronicznej (zwany dalej „kodeksem”), który zacznie obowiązywać od dnia 21 grudnia 2020 r., stanowi ważną podstawę do stworzenia warunków sprzyjających inwestycjom w sieci 5G i nie tylko. Ponadto programy finansowania publicznego, takie jak instrument „Łącząc Europę – technologie cyfrowe” lub europejskie fundusze strukturalne i inwestycyjne będą również miały zasadnicze znaczenie dla wsparcia przyszłego wdrożenia sieci 5G, w szczególności poprzez przyłączanie obiektów takich jak szkoły, szpitale, miasta i urzędy lokalne do sieci 5G i udostępnianie im usług oferowanych w oparciu o te sieci.

Europa jest jednym z najbardziej zaawansowanych na świecie regionów, jeśli chodzi o komercyjne uruchomienie usług 5G. Obecnie oczekuje się, że pierwsze usługi 5G będą dostępne w 138 europejskich miastach do końca 2020 r. Pionierskie sieci 5G opierają się na obecnej 4. generacji (4G) technologii sieciowych, a usługi 5G świadczone są głównie dla ogółu społeczeństwa – albo jako usprawnienie w stosunku do sieci 4G pod względem przepustowości i prędkości, albo jako korzystna cenowo bezprzewodowa alternatywa dla sieci stacjonarnych.

Jeżeli chodzi o przydział częstotliwości, państwa członkowskie przydzieliły 16 % pionierskich pasm sieci 5G. Oczekuje się, że w ciągu najbliższych kilku miesięcy przeprowadzone zostaną konsultacje w sprawie szeregu procedur przydziału częstotliwości, gdyż państwa członkowskie są prawnie zobowiązane, by do końca roku umożliwić korzystanie z wszystkich pionierskich pasm sieci 5G.

Wdrożenie w Europie infrastruktury na potrzeby sieci 5G ma zasadnicze znaczenie dla europejskiej strategii przemysłowej i konkurencyjności europejskich przedsiębiorstw. Komisja uznała wdrożenie technologii sieciowych 5G za główny czynnik umożliwiający świadczenie przyszłych usług cyfrowych. W 2016 r. Komisja przyjęła plan działania w zakresie sieci 5G, który ma zagwarantować, że od 2020 r. Unia posiadać będzie infrastrukturę łączności niezbędną do dokonania transformacji cyfrowej oraz do kompleksowego wdrożenia tej nowej technologii na obszarach miejskich i wzdłuż głównych tras transportowych do 2025 r. W komunikacie w sprawie społeczeństwa gigabitowego sformułowano ambitny cel, zgodnie z którym dostęp do internetu ruchomego należy zapewnić wszędzie, w tym na obszarach wiejskich i oddalonych.

W dniu 22 marca 2019 r. Rada Europejska wezwała do przyjęcia wspólnego podejścia do bezpieczeństwa sieci 5G. Następnie w dniu 26 marca 2019 r. Komisja przyjęła zalecenie (UE) 2019/534 w sprawie cyberbezpieczeństwa sieci 5G. W zaleceniu wezwano państwa członkowskie do ukończenia krajowych ocen ryzyka i przeprowadzenia przeglądu środków krajowych, do współpracy na szczeblu UE w zakresie skoordynowanej oceny ryzyka oraz do przygotowania wspólnego zestawu narzędzi obejmującego środki ograniczające ryzyko. Niniejszy komunikat stanowi integralną część kompleksowej europejskiej strategii cyfrowej opracowanej przez Komisję w odpowiedzi na apel Rady Europejskiej.

Jeżeli wiele usług o krytycznym znaczeniu będzie uzależnionych od sieci 5G, zakłócenia o charakterze systemowym na wielką skalę będą miały szczególnie dotkliwe skutki, a ze względu na wzajemne połączenia ekosystemów cyfrowych mogłyby one mieć poważne konsekwencje wykraczające poza granice poszczególnych państw. W rezultacie zapewnienie cyberbezpieczeństwa sieci 5G jest kwestią o znaczeniu strategicznym dla Unii, w czasie gdy cyberataki nasilają się, są bardziej wyrafinowane niż kiedykolwiek wcześniej i stoi za nimi wielu różnych agresorów, w szczególności podmiotów pochodzących z państw spoza UE lub wspieranych przez państwa obce. Jeżeli chodzi o bezpieczeństwo infrastruktury krytycznej takiej jak 5G, wybrane rozwiązanie zakłada opracowanie – po raz pierwszy – wspólnego europejskiego podejścia. Podejście to w pełni gwarantuje zachowanie otwartego charakteru rynku wewnętrznego UE pod warunkiem przestrzegania unijnych wymogów bezpieczeństwa opartych na analizie ryzyka.

Biorąc pod uwagę strategiczne szanse, jakie usługi 5G niosą dla różnych gałęzi przemysłu w Europie, niezwykle istotne jest zadbanie o to, by operatorzy i dostawcy usług inwestowali w zaawansowane rozwiązania sieciowe i usługi 5G. Będą one wymagać nie tylko nowych sieci radiowych 5G, ale również nowych tzw. „samodzielnych” sieci szkieletowych 5G, aby zapewnić zaawansowane funkcje 5G, takie jak warstwowanie sieci czy przetwarzanie danych na obrzeżach sieci (ang. edge computing).

1. Wszystkie państwa członkowskie powinny zapewnić wprowadzenie środków (w tym nadanie organom krajowym odpowiednich uprawnień), aby zagwarantować odpowiednią i proporcjonalną reakcję na obecnie zidentyfikowane i przyszłe zagrożenia, a w szczególności zadbać o to, by były w stanie w stanie wprowadzać ograniczenia, zakazy lub określone wymogi lub warunki, zgodnie z podejściem opartym na analizie ryzyka, w odniesieniu do dostaw, wdrożenia i eksploatacji sprzętu na potrzeby sieci 5G w oparciu o szereg przesłanek związanych z bezpieczeństwem.

W oparciu o ocenę możliwych planów ograniczania ryzyka i identyfikację środków o najwyższej skuteczności we wspomnianym zestawie narzędzi zalecono, co następuje:

W unijnym zestawie narzędzi wskazano i opisano zestaw środków strategicznych i technicznych, jak również odpowiednie działania wspierające w celu zwiększenia ich skuteczności, które mogą zostać wprowadzone w celu ograniczenia zidentyfikowanych rodzajów ryzyka. Środki strategiczne obejmują środki dotyczące przyznanych organom zwiększonych uprawnień regulacyjnych do kontroli zamówień publicznych na urządzenia sieciowe oraz procesu wdrażania sieci, szczególne środki służące wyeliminowaniu zagrożeń związanych ze słabymi punktami o charakterze nietechnicznym, jak również możliwe inicjatywy mające na celu promowanie zrównoważonego i zróżnicowanego łańcucha dostaw i wartości 5G w celu uniknięcia ryzyka systemowego i ryzyka długoterminowego uzależnienia od konkretnych dostawców. Środki techniczne obejmują środki mające na celu zwiększenie bezpieczeństwa sieci i urządzeń 5G poprzez przeciwdziałanie ryzyku, którego źródłem są technologie, procesy, czynniki ludzkie i fizyczne. Ponadto w odniesieniu do każdego z obszarów ryzyka wskazanych w unijnej skoordynowanej ocenie ryzyka w zestawie narzędzi przewidziano plany ograniczania ryzyka oparte na środkach o najwyższej skuteczności.

W konkluzjach Rady z dnia 3 grudnia 2019 r. poparto ustalenia zawarte w skoordynowanej ocenie ryzyka i podkreślono „jak ważne jest skoordynowane podejście i skuteczne wdrażanie zalecenia, aby uniknąć fragmentacji jednolitego rynku”. W tym celu Rada wezwała państwa członkowskie, Komisję i ENISA, by „w ramach swoich kompetencji podjęły wszelkie niezbędne działania w celu zapewnienia bezpieczeństwa i integralności sieci łączności elektronicznej, w szczególności sieci 5G, oraz w dalszym ciągu utrwalały skoordynowane podejście do wyzwań w zakresie bezpieczeństwa związanych z technologiami 5G”.

W celu skutecznego przeciwdziałania zidentyfikowanym zagrożeniom oraz wzmocnienia bezpieczeństwa i odporności sieci 5G konieczne jest kompleksowe podejście, co wiąże się z wprowadzeniem zestawu kluczowych środków, a także powiązanych działań wspierających, które mogą jednocześnie przeciwdziałać wspomnianym zagrożeniom. Unijna skoordynowana ocena ryzyka stanowi podstawę do określenia środków ograniczających ryzyko, które mogą być stosowane na szczeblu krajowym i europejskim.

W sprawozdaniu z unijnej skoordynowanej oceny ryzyka stwierdzono ponadto, że wyzwania te tworzą nowy paradygmat bezpieczeństwa, co sprawia, że konieczne jest dokonanie ponownej oceny obecnych ram polityki i bezpieczeństwa mających zastosowanie do sektora 5G i jego ekosystemu, a także powoduje konieczność zastosowania przez państwa członkowskie niezbędnych środków ograniczających ryzyko.

Zestaw narzędzi umożliwia stosowanie wspólnego unijnego podejścia do cyberbezpieczeństwa sieci 5G, wspierając spójność rozwiązań na całym rynku wewnętrznym za pośrednictwem polityki UE i koordynacji działań na szczeblu Unii, a także gwarantuje państwom członkowskim wykonywanie ich kompetencji, zwłaszcza w odniesieniu do bezpieczeństwa narodowego. Zawarte w zestawie narzędzi środki ograniczające ryzyko i plany ograniczania ryzyka umożliwiają odpowiednie, skuteczne i proporcjonalne działania UE w odpowiedzi na wspólne wyzwania w zakresie cyberbezpieczeństwa sieci 5G.

 oceniać profil ryzyka dostawców, a w związku z tym stosować odpowiednie ograniczenia w odniesieniu do dostawców uznawanych za stwarzających wysokie ryzyko – w tym niezbędne wyłączenia umożliwiające skuteczne ograniczanie ryzyka – w odniesieniu do kluczowych aktywów wskazanych jako krytyczne i wrażliwe w unijnej skoordynowanej ocenie ryzyka (np. funkcje sieci szkieletowej, funkcje zarządzania siecią i organizacji sieci czy też funkcje sieci dostępowej);

Komisja z zadowoleniem przyjmuje publikację unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G i w pełni popiera wszystkie powyższe ustalenia. Komisja wzywa państwa członkowskie oraz odpowiednie instytucje, agencje i inne organy Unii do: (i) zapewnienia szybkiego wdrożenia skutecznych i odpowiednich strategii ograniczania ryzyka w całej UE zgodnie z unijnym zestawem narzędzi, oraz (ii) podjęcia wszelkich niezbędnych dalszych kroków w celu zapewnienia koordynacji na szczeblu Unii, w tym poprzez kontynuowanie prac w ramach grupy współpracy ds. bezpieczeństwa sieci i informacji oraz ustanowienie skutecznego mechanizmu monitorowania wdrażania unijnego zestawu narzędzi, aby zagwarantować skuteczność środków i sprawne funkcjonowanie rynku wewnętrznego.

5. Wdrażanie zestawu narzędzi

Zdeterminowana postawa państw członkowskich, by w pełni wykorzystywać zestaw narzędzi, ma zasadnicze znaczenie dla wiarygodnego i skutecznego europejskiego podejścia do bezpieczeństwa sieci 5G. Chociaż to państwa członkowskie będą decydować, czy dany środek jest odpowiedni w zależności od uwarunkowań krajowych, należy bezwzględnie zadbać o to, by zestaw kluczowych środków, zaleconych przez grupę współpracy ds. bezpieczeństwa sieci i informacji (zob. konkluzje dotyczące zestawu narzędzi powyżej), został wprowadzony w każdym państwie członkowskim oraz – w odniesieniu do niektórych środków – na szczeblu UE w celu wyeliminowania zidentyfikowanych czynników ryzyka.

Komisja jest gotowa nadal udzielać pełnego wsparcia w kolejnych fazach tego procesu i wzywa państwa członkowskie do: - podjęcia, do dnia 30 kwietnia 2020 r., konkretnych i wymiernych działań w celu wdrożenia zestawu kluczowych środków zalecanych w konkluzjach dotyczących unijnego zestawu narzędzi; - przygotowania, do dnia 30 czerwca 2020 r., sprawozdania grupy współpracy ds. bezpieczeństwa sieci i informacji na temat stanu wdrożenia tych kluczowych środków w każdym państwie członkowskim, w oparciu o regularne sprawozdania i monitorowanie prowadzone w szczególności w ramach grupy współpracy ds. bezpieczeństwa sieci i informacji, przy wsparciu Komisji i ENISA.

5.1. Oparte na analizie ryzyka skoordynowane podejście do dostawców sprzętu 5G

Biorąc pod uwagę ostateczny cel, jakim jest zapewnienie bezpieczeństwa i odporności sieci 5G oraz ich zrównoważonego charakteru, państwa członkowskie zgodziły się co do konieczności oceny profilu ryzyka poszczególnych dostawców i w konsekwencji stosowania odpowiednich ograniczeń wobec dostawców uznanych za stwarzających wysokie ryzyko, w tym niezbędnych wyłączeń, aby skutecznie łagodzić ryzyko w odniesieniu do kluczowych aktywów, jak wskazano w zestawie narzędzi. Komisja jest gotowa wspierać państwa członkowskie we wdrażaniu tych środków.

Wsparciem we wdrażaniu wspomnianych środków w całej UE służą wytyczne, które zawarto w unijnej skoordynowanej ocenie ryzyka i unijnym zestawie narzędzi, dotyczące (1) oceny profilu ryzyka dostawców oraz (2) wrażliwości elementów sieci i funkcji sieciowych, a także innych aktywów. Zarówno unijna skoordynowana ocena ryzyka, jak i środki zawarte w zestawie narzędzi dotyczą ryzyka związanego z dostawcami urządzeń i usług sieciowych 5G. Nie obejmują one innych produktów lub usług, które mogą oferować ci lub inni dostawcy.

Zgodnie z pkt 2.37 unijnej skoordynowanej oceny ryzyka profile ryzyka poszczególnych dostawców można ocenić w oparciu o szereg czynników.

Ocena profili ryzyka dostawców powinna być przeprowadzana wyłącznie w oparciu o przesłanki bezpieczeństwa i na podstawie obiektywnych kryteriów. Aby ułatwić skoordynowane podejście do wdrażania tych środków, w zestawie narzędzi zalecono, by państwa członkowskie wymieniały się informacjami na temat krajowego podejścia i najlepszych praktyk. Ponadto zdaniem Komisji działanie to powinno być jednym z pierwszych priorytetów kolejnego etapu prac w ramach grupy współpracy ds. bezpieczeństwa sieci i informacji, przy współpracy z Komisją i ENISA.

Istotne jest, by ograniczenia dotyczące dostawców uznanych za stwarzających wysokie ryzyko, w tym niezbędne wyłączenia w celu skutecznego ograniczania ryzyka, jak również środki mające na celu uniknięcie uzależnienia od tych dostawców, stosowano na odpowiednio wczesnym etapie. Wprowadzanie tych środków na jak najwcześniejszym etapie, w tym, w miarę możliwości, w kontekście procedur wydawania pozwoleń na częstotliwości 5G, zwiększy również przewidywalność dla podmiotów gospodarczych, przyczyniając się tym samym do szybkiego uruchomienia sieci 5G, i zapewni długoterminowe bezpieczeństwo sieci 5G oraz odporność łańcucha dostaw 5G.

Jednocześnie wdrażanie tych środków na szczeblu krajowym może przebiegać według odmiennego harmonogramu, w przypadku gdy jest to konieczne i uzasadnione, w szczególności w razie wysokiego stopnia uzależnienia od sprzętu lub usług dostawców uznanych za stwarzających wysokie ryzyko (np. poprzez uwzględnienie cykli modernizacji sprzętu, w szczególności przejścia z „niesamodzielnych” na „samodzielne” sieci 5G). Państwa członkowskie mogłyby rozważyć takie zdefiniowanie planów wdrożenia, aby przewidzieć w nich odpowiednie okresy przejściowe dla operatorów sieci, których to dotyczy. W tym kontekście okresy przejściowe należy określić w taki sposób, aby utrzymać, a nawet zwiększyć zachęty do inwestowania w nowoczesne urządzenia sieciowe, w tym przyspieszyć wdrażanie pełnoprawnych („samodzielnych”) sieci szkieletowych 5G i zastępowanie istniejących urządzeń 4G w innych częściach sieci (np. w sieciach dostępu radiowego), zgodnie z celami planu działania w zakresie sieci 5G.