[pic] | KOMISJA EUROPEJSKA |

Bruksela, dnia 31.3.2011

KOM(2011) 163 wersja ostateczna

KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO, RADY, EUROPEJSKIEGO KOMITETU EKONOMICZNO-SPOŁECZNEGO I KOMITETU REGIONÓW

w sprawie ochrony krytycznej infrastruktury teleinformatycznej„Osiągnięcia i dalsze działania na rzecz globalnego bezpieczeństwa cyberprzestrzeni”

KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO, RADY, EUROPEJSKIEGO KOMITETU EKONOMICZNO-SPOŁECZNEGO I KOMITETU REGIONÓW

w sprawie ochrony krytycznej infrastruktury teleinformatycznej „Osiągnięcia i dalsze działania na rzecz globalnego bezpieczeństwa cyberprzestrzeni”

WPROWADZENIE

W dniu 30 marca 2009 r. Komisja przyjęła komunikat w sprawie ochrony krytycznej infrastruktury teleinformatycznej – „Ochrona Europy przed zakrojonymi na szeroką skalę atakami i zakłóceniami cybernetycznymi: zwiększenie gotowości, bezpieczeństwa i odporności”[1], w którym przedstawiono plan zwiększenia bezpieczeństwa i odporności kluczowych infrastruktur teleinformatycznych (TIK) („plan działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej”). Celem planu było przyspieszenie i wsparcie rozwoju zdolności w zakresie wysokiego poziomu gotowości, bezpieczeństwa i odporności zarówno na szczeblu krajowym, jak i europejskim. Podejście to uzyskało szerokie poparcie Rady w 2009 r. [2]

Plan działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej opiera się na pięciu filarach: gotowość i zapobieganie, wykrywanie i reagowanie, łagodzenie skutków i przywracanie sprawności operacyjnej, współpraca międzynarodowa oraz kryteria rozpoznawania europejskich infrastruktur krytycznych w sektorze TIK. Określono w nim działania, które w ramach każdego filaru zostaną podjęte przez Komisję, państwa członkowskie i/lub przemysł, przy wsparciu Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA).

W Europejskiej agendzie cyfrowej[3], przyjętej w maju 2010 r., oraz w powiązanych z nią konkluzjach Rady[4], podkreślono zgodę co do tego, że zaufanie i bezpieczeństwo są istotnymi warunkami niezbędnymi do umożliwienia powszechnego stosowania TIK, a przez to do osiągnięcia celów związanych z inteligentnym wzrostem, zapisanych w strategii „Europa 2020”[5]. W agendzie cyfrowej podkreślono, że w celu zapewnienia bezpieczeństwa i odporności infrastruktur TIK konieczne jest podjęcie przez wszystkie zainteresowane strony wspólnych, kompleksowych działań, które koncentrować się będą na zapobieganiu, gotowości i uświadamianiu, a także na stworzeniu skutecznych i skoordynowanych mechanizmów reagowania na nowe i coraz bardziej wyszukane rodzaje cyberataków i cyberprzestępczości. Dzięki temu podejściu należycie uwzględnione są zarówno aspekty związane z prewencją, jak i z reagowaniem.

W ciągu ostatnich kilku miesięcy podjęto następujące środki zapowiedziane w agendzie cyfrowej: we wrześniu 2010 r. Komisja przyjęła wniosek w sprawie dyrektywy dotyczącej ataków na systemy informatyczne[6]. Jego celem jest zwiększenie wysiłków na rzecz walki z cyberprzestępczością poprzez zbliżenie przepisów prawa karnego obowiązujących w poszczególnych państwach członkowskich oraz usprawnienie współpracy między organami sądowymi i innymi właściwymi organami. We wniosku zawarto również przepisy dotyczące postępowania w przypadku nowych rodzajów cyberataków, zwłaszcza w przypadku botnetów. Jako środek uzupełniający, Komisja przedłożyła równocześnie wniosek[7] dotyczący upoważnienia do wzmocnienia i modernizacji Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA) w celu zwiększenia zaufania i bezpieczeństwa sieci. Wzmocnienie i modernizacja ENISA pomoże UE, państwom członkowskim i zainteresowanym stronom prywatnym w rozwinięciu ich możliwości i w przygotowaniu się do zapobiegania, wykrywania i reagowania na wyzwania dla bezpieczeństwa cybernetycznego.

Wreszcie, w Europejskiej agendzie cyfrowej, w programie/planie działań sztokholmskim[8] oraz w strategii bezpieczeństwa wewnętrznego UE (ISS)[9] podkreślono, że Komisja zobowiązuje się do zapewnienia środowiska cyfrowego, w którym każdy Europejczyk będzie mógł w pełni zrealizować swój ekonomiczny i społeczny potencjał.

W niniejszym komunikacie podsumowano wyniki osiągnięte od momentu przyjęcia planu działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej w 2009 r. Przedstawiono w nim również kolejne kroki planowane w ramach każdego działania na poziomie europejskim i międzynarodowym. Ponadto w komunikacie położono nacisk na globalny aspekt omawianych problemów oraz – aby należycie uwzględnić kwestie związane z globalną współzależnością – podkreślono znaczenie zwiększenia współpracy między państwami członkowskimi a sektorem prywatnym na poziomie krajowym, europejskim i międzynarodowym.

EWOLUUJąCY SCENARIUSZ

W ocenie skutków towarzyszącej planowi działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej[10] oraz w wielu analizach i sprawozdaniach przygotowanych przez zainteresowane podmioty prywatne i publiczne podkreśla się nie tylko społeczną, polityczną i gospodarczą zależność Europy od TIK, ale również ciągły wzrost liczy, zakresu, zaawansowania technicznego i potencjalnych skutków zagrożeń, bez względu na to, czy są one naturalne, czy spowodowane przez człowieka.

Pojawiły się nowe i bardziej zaawansowane technologicznie rodzaje zagrożeń. Globalny wymiar geopolityczny tych zagrożeń staje się coraz jaśniejszy. Jesteśmy świadkami narastającego zjawiska polegającego na tym, że TIK wykorzystywane są w celu zdobycia przewagi politycznej, gospodarczej i militarnej, w tym poprzez wykorzystanie zdolności do ofensywy. Czasami mówi się w tym kontekście o „wojnie cybernetycznej” i o „cyberterrroryźmie”.

Ponadto – jak można się przekonać na przykładzie ostatnich wydarzeń w południowej części basenu Morza Śródziemnomorskiego – niektóre reżimy w celach politycznych są gotowe i zdolne do zakłócenia dostępu obywateli do elektronicznych środków komunikacji, zwłaszcza Internetu i sieci telefonii komórkowej. Tego rodzaju jednostronne interwencje krajowe mogą mieć z kolei poważne konsekwencje dla innych części świata[11].

Aby lepiej zrozumieć charakter tych różnych zagrożeń, warto podzielić je na następujące kategorie:

- cele obejmujące wykorzystanie , takie jak np. „poważne stałe zagrożenia”[12] do celów szpiegostwa gospodarczego i politycznego (np. GhostNet[13]), kradzież tożsamości, ostanie ataki na system handlu emisjami[14] i ataki na rządowe systemy informatyczne[15];

- cele polegające na zakłócaniu , takie jak ataki uniemożliwiające działanie witryn, spam generowany przez bonety (np. sieć Conficker obejmująca 7 mln urządzeń oraz umiejscowiona w Hiszpanii sieć Mariposa obejmująca 12,7 mln urządzeń[16]), Stuxnet[17] oraz odcięcie środków komunikacji;

- cele polegające na niszczeniu . Tego rodzaju atak nie miał jeszcze miejsca, ale ze względu coraz większą obecność TIK w infrastrukturze krytycznej (np. w inteligentnych sieciach energetycznych i w systemach wodnych) nie można wykluczyć jego wystąpienia w przyszłości[18].

UNIA EUROPEJSKA I KONTEKST śWIATOWY

Problemy, z którym przyjdzie się zmierzyć, nie są ani ograniczone do Unii Europejskiej (UE), ani nie zostaną rozwiązane przez samą UE. Wszechobecność TIK oraz Internetu umożliwia sprawniejszą, skuteczniejszą i tańszą komunikację, koordynację i współpracę między zainteresowanymi podmiotami oraz prowadzi do powstania dynamicznego ekosystemu innowacji we wszystkich dziedzinach życia. Zagrożenia mogą jednak teraz nadejść z każdej części świata, a ze względu na globalną sieć połączeń mogą również dotknąć każdą część świata.

Podejście wyłącznie europejskie nie wystarczy, aby rozwiązać przyszłe problemy. Choć cel polegający na opracowaniu spójnego podejścia opartego na współpracy w ramach UE pozostaje cały czas aktualny, należy go jednak włączyć w globalną strategię koordynacji z naszymi kluczowymi partnerami, zarówno konkretnymi państwami, jak i organizacjami międzynarodowymi.

Powinniśmy dołożyć wszelkich starań, aby zrozumieć, jakiego rodzaju ryzyko w skali globalnej niesie ze sobą powszechne wykorzystanie TIK we wszystkich grupach społecznych. Co ważniejsze, powinniśmy opracować strategie odpowiedniego i skutecznego zarządzania tymi zagrożeniami obejmujące zapobieganie, przeciwdziałanie, łagodzenie i reagowanie. W Europejskiej agendzie cyfrowej podkreślono, że „aby skutecznie walczyć z zagrożeniami w zakresie bezpieczeństwa oraz łagodzić ich skutki, należy zorganizować współpracę stosownych podmiotów na szczeblu światowym” oraz określono cele polegające na wspieraniu „współpracy z zainteresowanymi stronami z całego świata przede wszystkim w celu wzmocnienia globalnego zarządzania ryzykiem w sferze cyfrowej i fizycznej oraz prowadzenia międzynarodowych ukierunkowanych działań związanych z walką z przestępczością komputerową i zagrożeniami bezpieczeństwa”.

REALIZACJA PLANU DZIAłANIA NA RZECZ OCHRONY KRYTYCZNEJ INFRASTRUKTURY TELEINFORMATYCZNEJ: WYBRANE SUKCESY

Pełne sprawozdanie dotyczące osiągnięć i dalszych kroków w ramach planu działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej znajduje się w załączniku. Poniżej przedstawiono kilka wybranych informacji ilustrujących obecną sytuację.

Gotowość i zapobieganie

- Europejskie forum państw członkowskich (ang. European Forum of Member States, EFMS) dokonało znacznych postępów w zakresie zachęcania odpowiednich organów do dyskusji i wymiany dobrych praktyk politycznych związanych z bezpieczeństwem i odpornością infrastruktury TIK. EFMS jest obecnie uznawane przez państwa członkowskie za ważną platformę wykorzystywaną do dyskusji i wymiany dobrych praktyk[19]. Przyszłe działania forum będą nadal wspierane przez ENISA i będą się koncentrować na współpracy między krajowymi/rządowymi zespołami reagowania na incydenty komputerowe (CERT), tworzeniu zachęt gospodarczych i regulacyjnych w dziedzinie bezpieczeństwa i odporności (z poszanowaniem zasad dotyczących konkurencji i pomocy państwa), ocenie stanu „cyberbezpieczeństwa” w Europie, wspieraniu organizacji ćwiczeń w skali ogólnoeuropejskiej oraz na debacie poświęconej priorytetom w kontaktach międzynarodowych dotyczących bezpieczeństwa i odporności.

- Działalność rozpoczęło europejskie partnerstwo publiczno-prywatne na rzecz odporności (EP3R), które zapewnia ogólnoeuropejskie ramy zarządzania dotyczące odporności infrastruktury TIK. Jego celem jest wspieranie współpracy między sektorem publicznym i sektorem prywatnym dotyczącej strategicznych kwestii związanych z bezpieczeństwem i odpornością UE. ENISA pełniła dla EP3R funkcję wspierającą i zgodnie z wnioskiem Komisji z 2010 r. dotyczącym jej modernizacji, zapewni długofalowe i trwałe ramy dla EP3R. EP3R będzie również służyć jako platforma do działań na arenie międzynarodowej dotyczących politycznych, gospodarczych i rynkowych kwestii związanych z bezpieczeństwem i odpornością, zwłaszcza w celu usprawnienia globalnego zarządzania ryzykiem dla infrastruktury TIK.

- Opracowano również minimalny pakiet podstawowych zdolności i usług [20] oraz powiązanych z nimi zaleceń politycznych[21] dotyczących krajowych/rządowych CERT, zgodnie z którymi mają one skutecznie działać i stanowić kluczowy element krajowych zdolności z zakresie gotowości, wymiany informacji, koordynacji i reagowania. Działania te będą stanowić podstawę do ustanowienia – przy wsparciu ENISA – sieci sprawnie funkcjonujących krajowych/rządowych CERT we wszystkich państwach członkowskich do końca 2012 r. Sieć ta będzie stanowić trzon europejskiego systemu wymiany informacji i wczesnego ostrzegania (ang. European Information Sharing and Alert System, EISAS) dla obywateli i MŚP, który zostanie zbudowany przy użyciu środków i zdolności krajowych do końca 2013 r.

Wykrywanie i reagowanie

- ENISA opracowała szczegółowy plan rozwoju europejskiego systemu wymiany informacji i wczesnego ostrzegania ( EISAS ) obejmujący okres do 2013 r. [22], który opiera się na wdrożeniu usług podstawowych ma poziomie krajowych/rządowych CERT oraz usług w zakresie interoperacyjności w celu zintegrowania krajowych systemów wymiany informacji i wczesnego ostrzegania z EISAS. Jednym z kluczowych aspektów tego działania będzie zapewnienie odpowiedniej ochrony danych osobowych.

Łagodzenie skutków i przywracanie sprawności operacyjnej

- Jak do tej pory tylko w 12 państwach członkowskich zorganizowano ćwiczenia w zakresie reagowania w przypadku zakrojonych na szeroką skalę ataków zagrażających bezpieczeństwu sieci oraz w zakresie przywracania sprawności operacyjnej w przypadku awarii[23]. W ramach wspierania działań państw członkowskich, których liczbę należy zwiększyć, ENISA przygotowała kompendium dobrych praktyk dotyczących ćwiczeń krajowych [24] oraz zalecenia polityczne w sprawie rozwoju strategii krajowych[25].

- Pierwsze ogólnoeuropejskie ćwiczenia na wypadek zakrojonych na szeroką skalę ataków zagrażających bezpieczeństwu sieci (Cyber Europe 2010) odbyły się dnia 4 listopada 2010 r. z udziałem wszystkich państw członkowskich, z których 19 aktywnie uczestniczyło w ćwiczeniach, a także z udziałem Szwajcarii, Norwegii i Islandii. Przyszłe ogólnoeuropejskie ćwiczenia w dziedzinie cyberbezpieczeństwa powinny opierać się na wspólnych ramach obejmujących i łączących krajowe plany awaryjne, dzięki czemu powstaną podstawowe mechanizmy i procedury komunikacji i współpracy między państwami członkowskimi.

Współpraca międzynarodowa

- W kontekście EFMS omówiono i opracowano europejskie zasady i wytyczne dotyczące odporności i stabilności Internetu [26]. Komisja będzie prowadzić rozmowy na temat tych zasad i będzie je wspierać wśród zainteresowanych stron, zgłasza w sektorze prywatnym (poprzez EP3R), dwustronnie z kluczowymi partnerami międzynarodowymi, zwłaszcza z USA, oraz na forach wielostronnych. Działania te, zgodnie z kompetencjami Komisji, będą prowadzone na takich forach jak G8, OECD, NATO (zwłaszcza w oparciu o nową koncepcję strategiczną przyjętą w 2010 r. oraz w oparciu o działania wspólnego centrum doskonałości w zakresie cyberbezpieczeństwa – Cooperative Cyber-defense Center of Excellence), Międzynarodowy Związek Telekomunikacyjny (ITU) (w kontekście budowania zdolności w dziedzinie cyberbezpieczeństwa), OBWE (w ramach forum ds. współpracy w zakresie bezpieczeństwa), ASEAN, Meridian[27] itd. Celem rozmów będzie przekształcenie tych zasad i wytycznych we wspólne ramy dla wspólnych międzynarodowych działań na rzecz długofalowej odporności i stabilności Internetu.

Kryteria rozpoznawania europejskich infrastruktur krytycznych w sektorze TIK

- W trakcie konsultacji technicznych prowadzonych w ramach EFMS powstał pierwszy projekt sektorowych kryteriów rozpoznawania europejskich krytycznych w sektorze TIK , który koncentruje się na łączności stacjonarnej i ruchomej oraz na Internecie . Konsultacje techniczne będą kontynuowane i zostaną rozszerzone o konsultacje dotyczące projektu kryteriów prowadzone z sektorem prywatnym, na poziomie krajowym i europejskim (w ramach EP3R). W 2012 r. Komisja omówi również z państwami członkowskimi aspekty związane z TIK, które będą uwzględnione w ramach przeglądu dyrektywy w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony[28].

DALSZE KROKI

Wdrażając plan działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej odniesiono szereg sukcesów, zwłaszcza jeśli chodzi o uznanie konieczności przyjęcia podejścia opartego na współpracy wszystkich zainteresowanych stron w celu zapewnienia bezpieczeństwa sieci i informacji. Wdrożenie planu i zakańczanie jego poszczególnych etapów odbywa się na ogół zgodnie z harmonogramem wyznaczonym w 2009 r. Nie należy jednak poprzestać na tych sukcesach, ponieważ aby zapewnić powodzenie działań nadal pozostaje wiele do zrobienia, zarówno na poziomie krajowym, jak i europejskim.

Szczególnie istotne jest włączenie tych działań w globalną strategię koordynacji i rozszerzenie ich – przy udziale wszystkich zainteresowanych stron – na arenę międzynarodową, tak aby zaangażować inne regiony, państwa i organizacje, które zajmują się podobnymi problemami i aby stworzyć partnerstwa, których celem będzie wymiana doświadczeń w zakresie podejść i związanych z nimi działań oraz unikanie powielania wysiłków.

Należy wspierać globalną kulturę zarządzania ryzykiem. Głównym zadaniem powinno być wspieranie skoordynowanych działań w celu zapobiegania wszelkiego rodzaju zakłóceniom, wykrywania ich, łagodzenia ich skutków oraz reagowania na nie, bez względu na to, czy są to zakłócenia naturalne, czy spowodowane przez człowieka, a także w celu ścigania cyberprzestępstw. Powyższe zadania powinny obejmować prowadzenie ukierunkowanych działań związanych z walką z zagrożeniami bezpieczeństwa i z przestępczością komputerową.

W tym celu Komisja :

- będzie wpierać zasady dotyczące odporności i stabilności Internetu – międzynarodowe zasady dotyczące odporności i stabilności Internetu należy opracować we współpracy z innymi państwami, organizacjami międzynarodowymi oraz, w stosownych przypadkach, z organizacjami z sektora prywatnego na całym świecie – wykorzystując w tym celu istniejące fora i procedury, takie jak np. fora i procedury związane z zarządzaniem Internetem. Zasady te powinny stanowić narzędzie, z którego wszystkie zainteresowane strony powinny korzystać, prowadząc działania związane z odpornością i stabilnością Internetu. W tym celu jako podstawa posłużyć mogą europejskie zasady i wytyczne.

- będzie budować strategiczne partnerstwa międzynarodowe – należy zbudować strategiczne partnerstwa obejmujące działania prowadzone w obszarach krytycznych, takich jak zarządzanie incydentami komputerowymi, w tym ćwiczenia i współpracę między zespołami CERT. Szczególnie istotny jest udział sektora prywatnego, który działa w skali ogólnoświatowej. Utworzenie grupy roboczej UE-USA ds. bezpieczeństwa cybernetycznego i cyberprzestępczości, które nastąpiło podczas szczytu UE-USA w listopadzie 2010 r., stanowi krok w odpowiednim kierunku. Grupa ta będzie się zajmować w głównej mierze zarządzaniem w przypadku ataków cybernetycznych, organizacją partnerstw publiczo-prywatnych, prowadzeniem kampanii informacyjnych oraz zwalczaniem cyberprzestępczości. W stosownych przypadkach grupa ta będzie miała możliwość nawiązania kontaktów z innymi regionami i państwami, które zajmują się podobnymi problemami, zwłaszcza w celu wymiany doświadczeń w zakresie podejść i związanych z nimi działań oraz aby uniknąć powielania wysiłków. Dalsze nawiązywanie kontaktów i koordynacja powinny odbywać się na forach międzynarodowych, zwłaszcza G8. Ze strony europejskiej kluczowe czynniki powodzenia to sprawna koordynacja między wszystkimi instytucjami UE, stosownymi agencjami (ENISA i Europol) oraz państwami członkowskimi.

- będzie pracować nad zwiększeniem zaufania do chmur obliczeniowych – należy zintensyfikować debatę na temat najlepszych strategii zarządzania w odniesieniu do nowych technologii o zasięgu globalnym, takich jak chmury obliczeniowe. Debata ta zdecydowanie powinna objąć odpowiednie ramy zarządzania dotyczące ochrony danych osobowych, ale nie powinna być ograniczona do tej tematyki. Aby odnieść pełne korzyści z tej technologii konieczne jest zaufanie[29].

Ponieważ wszyscy są współodpowiedzialni za bezpieczeństwo, wszystkie państwa członkowskie muszą zadbać, by podejmowane przez nie środki i działania krajowe wspólnie przyczyniały się do działań prowadzonych w ramach skoordynowanego podejścia europejskiego, których celem jest zapobieganie wszelkiego rodzaju atakom i zakłóceniom cybernetycznym, wykrywanie ich, łagodzenie ich skutków oraz reagowanie na nie. W tym kontekście państwa członkowskie powinny zobowiązać się do :

- zwiększenia gotowości UE poprzez ustanowienie sieci sprawnie funkcjonujących krajowych/rządowych CERT do końca 2012 r. Analogicznie, instytucje UE również powinny ustanowić CERT na swoim poziomie do końca 2012 r. Prowadząc te działania należy skorzystać z minimalnego pakietu podstawowych zdolności i usług oraz powiązanych z nimi zaleceń politycznych opracowanych przez ENISA, która będzie w dalszym ciągu wspierać tego rodzaju inicjatywy. Powyższe działania przyspieszą również utworzenie europejskiego systemu wymiany informacji i wczesnego ostrzegania (EISAS), który będzie ogólnodostępny do końca 2013 r.

- przygotowania do końca 2012 r. europejskiego planu awaryjnego na wypadek ataku cybernetycznego oraz organizacji regularnych ogólnoeuropejskich ćwiczeń w dziedzinie cyberbezpieczeństwa. Ćwiczenia w dziedzinie cyberbezpieczeństwa stanowią ważny element spójnej strategii obejmującej plany awaryjne i odzyskanie sprawności operacyjnej na wypadek ataku cybernetycznego, zarówno na poziomie krajowym, jak i europejskim. Przyszłe ogólnoeuropejskie ćwiczenia w dziedzinie cyberbezpieczeństwa powinny opierać się na europejskim planie awaryjnym na wypadek ataku cybernetycznego, którego podstawą są krajowe plany awaryjne i który jest z nimi połączony. W planie tym należy uwzględnić podstawowe mechanizmy i procedury dotyczące komunikacji między państwami członkowskimi, a także, co jest równie istotne, należy w nim przewidzieć zakres i organizację przyszłych ćwiczeń ogólnoeuropejskich. ENISA podejmie z państwami członkowskimi współpracę, której celem będzie opracowanie takiego europejskiego planu awaryjnego na wypadek ataku cybernetycznego do końca 2012 r. Równocześnie wszystkie państwa członkowskie powinny przygotowywać swoje krajowe plany awaryjne oraz ćwiczenia w zakresie reagowania i odzyskiwania sprawności operacyjnej.

- skoordynowania działań europejskich na forach międzynarodowych oraz prowadzenia konsultacji dotyczących zwiększenia bezpieczeństwa i odporności Internetu. Państwa członkowskie powinny współpracować między sobą i z Komisją w celu opracowania opartego na zasadach lub normach podejścia w dziedzinie globalnej stabilności i odporności Internetu. Celem powinno być wspieranie zapobiegania i gotowości na wszystkich poziomach oraz ze strony wszystkich zainteresowanych stron, co powinno stanowić przeciwwagę dla bieżących kierunków rozmów, w których nacisk kładzie się na aspekty militarne i/lub aspekty związane z bezpieczeństwem krajowym.

WNIOSEK

Jak wynika z doświadczenia, jeśli chodzi o kwestie związane z bezpieczeństwem i odpornością, podejścia wyłącznie krajowe lub regionalne nie są wystarczające. Od 2009 r. współpraca na poziomie europejskim znacznie się rozwinęła i przyniosła pozytywne efekty, zwłaszcza ćwiczenia Cyber Europe 2010. Niemniej jednak Europa powinna kontynuować działania na rzecz utworzenia spójnego podejścia opartego na współpracy w obrębie całej UE. Zmodernizowana ENISA powinna zwiększyć wsparcie długofalowych działań prowadzonych przez państwa członkowskie, instytucje UE oraz sektor prywatny.

Aby zapewnić powodzenie europejskich działań, należy je prowadzić w ramach podejścia skoordynowanego na poziomie światowym. W tym celu Komisja będzie wspierać prowadzenie debat dotyczących cyberbezpieczeństwa na wszystkich stosownych forach międzynarodowych.

W dniach 14-15 kwietnia 2011 r. odbędzie się zorganizowana przez prezydencję węgierską UE konferencja ministerialna poświęcona ochronie krytycznej infrastruktury teleinformatycznej. Konferencja ta stworzy doskonałą okazję do podkreślenia zobowiązań państw członkowskich w zakresie zwiększenia współpracy i koordynacji, zarówno na poziomie europejskim, jak i międzynarodowym.

ZAŁĄCZNIK

Plan działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej: Szczegółowe podsumowanie osiągnięć i kolejnych kroków

Wyniki działań przeprowadzanych w ramach planu na rzecz ochrony krytycznej infrastruktury teleinformatycznej są na ogół zgodne z celami i harmonogramem wyznaczonymi w 2009 r. przez Komisję. Poniżej przedstawiono „osiągnięcia” i „kolejne kroki” dla wszystkich filarów. W niniejszym streszczeniu uwzględniono fakt, iż niektóre działania zostały bardziej szczegółowo opracowane w ramach Europejskiej agendy cyfrowej oraz w ramach strategii bezpieczeństwa wewnętrznego UE w działaniu.

1. Gotowość i zapobieganie

Podstawowe zdolności i usługi w zakresie współpracy ogólnoeuropejskiej

Osiągnięcia

- W 2009 r. ENISA wraz z zespołami reagowania na incydenty komputerowe (CERT) z całej Europy opracowała i uzgodniła minimalny pakiet podstawowych zdolności i usług, jakie powinny mieć do dyspozycji krajowe/rządowe CERT, aby skutecznie działać i wspierać współpracę na poziome ogólnoeuropejskim. Zawarto kompromis dotyczący wykazu obowiązkowych wymogów w dziedzinach zdolności operacyjnych, zdolności technicznych, mandatu i współpracy[30].

- W 2010 r. ENISA wraz z zespołami reagowania na incydenty komputerowe (CERT) z całej Europy postanowiła przekształcić powyższe wymogi operacyjne w zestaw zaleceń politycznych[31] dla krajowych/rządowych CERT, które mają być kluczowym elementem zdolności krajowych w zakresie gotowości, wymiany informacji, koordynacji i reagowania.

- Jak do tej pory 20 państw członkowskich[32] uruchomiło krajowe/rządowe CERT, a prawie wszystkie pozostałe mają plany jego utworzenia. Zgodnie z zapowiedzią w Europejskiej agendzie cyfrowej i zgodnie z dalszymi informacjami w strategii bezpieczeństwa wewnętrznego UE w działaniu Komisja przedstawiła środki konieczne do ustanowienia CERT dla instytucji UE do końca 2012 r.

Kolejne kroki

- ENISA będzie w dalszym ciągu wspierać państwa członkowskie, które nie ustanowiły jeszcze krajowych/rządowych CERT i które spełniają uzgodnione podstawowe wymogi opisane powyżej, aby umożliwić osiągnięcie celu polegającego na utworzeniu sprawnie funkcjonujących CERT we wszystkich państwach członkowskich do końca 2011 r. Osiągnięcie tego celu umożliwi ustanowienie – do końca 2012 r. – sprawnie funkcjonującej sieci CERT na poziomie krajowym, tak jak przewidziano w Europejskiej agendzie cyfrowej.

- ENISA, we współpracy z krajowymi/rządowymi CERT, przedyskutuje, czy i jak rozszerzyć „podstawowe zdolności” w celu dostosowania zdolności CERT do wspierania państw członkowskich w zapewnianiu odporności i stabilności krytycznej infrastruktury TIK i w celu uczynienia z nich podstawy europejskiego systemu wymiany informacji i wczesnego ostrzegania (EISAS) dla obywateli i MŚP, który ma być zbudowany przy użyciu środków i zdolności krajowych do końca 2013 r. , tak jak przewidziano w strategii bezpieczeństwa wewnętrznego UE w działaniu.

Europejskie partnerstwo publiczno-prywatne na rzecz odporności (EP3R)

Osiągnięcia

- W 2009 r. rozpoczęło działalność EP3R, które zapewnia ogólnoeuropejskie ramy zarządzania dotyczące odporności infrastruktury TIK i wspiera współpracę między sektorem publicznym i prywatnym w zakresie celów, podstawowych wymogów, dobrych praktyk i środków dotyczących bezpieczeństwa i odporności. Jak stwierdzono w strategii bezpieczeństwa wewnętrznego UE w działaniu, celem EP3R będzie również „podjęcie współpracy z partnerami międzynarodowymi w celu wzmocnienia globalnego zarządzania ryzykiem dla sieci teleinformatycznych”. Działania prowadzone w ramach EP3R cały czas wspiera ENISA.

- W celu określenia celów, zasad i struktury EP3R oraz stworzenia zachęt mających zachęcić zainteresowane strony do aktywnego udziału przeprowadzono konsultacje z zainteresowanymi podmiotami z sektora prywatnego i publicznego[33]. We wniosku dotyczącym modernizacji ENISA określono obszary priorytetowe dla EP3R[34].

- W trakcie prac nad strukturą EP3R zainicjowano równocześnie pod koniec 2010 r. działalność trzech grup roboczych: a) ds. kluczowych zasobów, środków i funkcji niezbędnych do zapewnienia ciągłej i bezpiecznej łączności elektronicznej między państwami; b) ds. podstawowych wymogów dotyczących bezpieczeństwa i odporności łączności elektronicznej; c) ds. potrzeb w zakresie koordynacji i współpracy oraz mechanizmów służących do przygotowania na zakrojone na dużą skalę zakłócenia łączności elektronicznej i reagowania na nie.

- W 2010 r. dzięki wnioskowi Komisji dotyczącemu modernizacji ENISA utworzono długofalowe i trwałe ramy dla EP3R: stwierdzono w nim, że ENISA powinna „wspierać współpracę między publicznymi i prywatnymi zainteresowanymi stronami na poziomie unijnym poprzez, między innymi, promowanie wymiany informacji i podnoszenie świadomości oraz ułatwianie ich wysiłków związanych z opracowywaniem i wprowadzaniem norm dotyczących zarządzania ryzykiem i bezpieczeństwa produktów, sieci i usług elektronicznych”.

Kolejne kroki

- W 2011 r. EP3R będzie w dalszym ciągu wspierać współpracę między zainteresowanymi podmiotami z sektora publicznego i prywatnego, aby zwiększyć bezpieczeństwo i odporność za pomocą nowatorskich środków i instrumentów i aby określić zakres odpowiedzialności zainteresowanych stron. Grupy robocze działające w ramach EP3R przedstawią wstępne wyniki swoich prac wykorzystując w tym celu pomoc i wsparcie ENISA. Przyszłe działania będą również uwzględniać kwestie cyberbezpieczeństwa inteligentnych sieci, w oparciu o prace przygotowawcze przeprowadzone przez Komisję i ENISA.

- EP3R będzie również służyć jako platforma do globalnych działań dotyczących politycznych, gospodarczych i rynkowych kwestii związanych z bezpieczeństwem i odpornością. Komisja zamierza wykorzystać EP3R w celu wsparcia działań prowadzonych w ramach grupy roboczej UE-USA ds. bezpieczeństwa cybernetycznego i cyberprzestępczości, aby zapewnić spójne środowisko dla współpracy między sektorem publicznym i prywatnym, przy jednoczesnym poszanowaniu odpowiednich zasad dotyczących konkurencji i pomocy państwa.

- W dalszej perspektywie, zgodnie z wnioskiem dotyczącym nowego rozporządzenia w sprawie ENISA, planuje się, że EP3R będzie jednym z kluczowych obszarów działalności zmodernizowanej ENISA.

Europejskie forum państw członkowskich (EFMS)

Osiągnięcia

- W 2009 r. ustanowiono europejskie forum państw członkowskich – korzystające bezpośrednio z prac ENISA i z udzielanego przez nią wsparcia – którego celem jest pobudzanie dyskusji i wymiana dobrych praktyk między odpowiednimi organami publicznymi, aby możliwe było ustalenie wspólnych celów politycznych i priorytetów w zakresie bezpieczeństwa i odporności infrastruktury TIK. Działalność EFMS, którego posiedzenia odbywają się raz na kwartał, wspierana jest od połowy 2010 r. przez specjalną stronę internetową zarządzaną przez ENISA.

- EFMS dokonało znacznych postępów w zakresie: a) określenia kryteriów rozpoznawania europejskiej infrastruktury krytycznej w sektorze TIK w kontekście dyrektywy w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej[35]; b) określenia europejskich priorytetów, zasad i wytycznych dotyczących odporności i stabilności Internetu; c) wymiany dobrych praktyk politycznych, zwłaszcza dotyczących ćwiczeń w dziedzinie cyberbezpieczeństwa.

- EFMS jest obecnie uznawane przez państwa członkowskie za ważną platformę wykorzystywaną do dyskusji i wymiany dobrych praktyk[36].

Kolejne kroki

- W 2011 r. EFMS zakończy konsultacje techniczne dotyczące kryteriów TIK w ramach europejskich infrastruktur krytycznych oraz określi długofalowe kierunki i priorytety dotyczące zakrojonych na szeroką skalę, ogólnoeuropejskich ćwiczeń w dziedzinie bezpieczeństwa sieci i informacji.

- EFMS będzie również bardziej zaangażowane w rozmowy na temat priorytetów w kontaktach międzynarodowych dotyczących bezpieczeństwa i odporności, zwłaszcza w związku z działalnością grupy roboczej UE-USA ds. bezpieczeństwa cybernetycznego i cyberprzestępczości.

- Priorytetowe obszary przyszłych działań EFMS, które będą bezpośrednio wspierane przez ENISA, obejmują[37]: opracowanie metod skutecznej współpracy między krajowymi/rządowymi CERT; wykorzystanie istnienia minimalnych wymogów w dziedzinie zamówień publicznych w celu zwiększenia cyberbezpieczeństwa; określenie zachęt ekonomicznych i regulacyjnych w odniesieniu do bezpieczeństwa i odporności (z poszanowaniem zasad dotyczących konkurencji i pomocy państwa); ocena stanu „cyberbezpieczeństwa” w Europie.

- Wykrywanie i reagowanie

Europejski system wymiany informacji i wczesnego ostrzegania (EISAS)

Osiągnięcia

- Komisja sfinansowała dwa projekty prototypowe (FISHAS i NEISAS), które przynoszą obecnie swoje ostateczne wyniki.

- W oparciu o studium wykonalności z 2007 r. [38] oraz analizę stosownych projektów na poziomie krajowym i europejskim ENISA opracowała szczegółowy plan rozwoju EISAS obejmujący okres do 2013 r. [39]

Kolejne kroki

- W 2011 r. ENISA będzie pomagać państwom członkowskim we wdrażaniu planu rozwoju EISAS poprzez opracowywanie „podstawowych usług”, które są niezbędne, aby państwa członkowskie – działając w oparciu o zdolności krajowych/rządowych CERT – mogły ustanowić swoje systemy wymiany informacji i wczesnego ostrzegania (ISAS).

- W 2012 r. ENISA opracuje „usługi interoperacyjności”, które umożliwią funkcjonalną integrację każdego krajowego ISAS z EISAS. ENISA będzie również wspierać państwa członkowskie w testowaniu tych usług poprzez stopniową integrację systemów krajowych.

- W latach 2011-2012 ENISA włączy krajowe/rządowe CERT w proces integrowania zdolności ISAS z ich własnymi usługami.

- Łagodzenie skutków i przywracanie sprawności operacyjnej

Krajowe plany i ćwiczenia awaryjne

Osiągnięcia

- Pod koniec 2010 r. 12 państw członkowskich opracowało krajowe plany awaryjne i/lub zorganizowało ćwiczenia w zakresie reagowania w przypadku zakrojonych na szeroką ataków cybernetycznych zagrażających bezpieczeństwu sieci oraz w zakresie przywracania sprawności operacyjnej w przypadku awarii [40].

- W oparciu o doświadczenia krajowe i międzynarodowe ENISA przygotowała kompendium dobrych praktyk dotyczących ćwiczeń krajowych[41]; zorganizowała spotkania z udziałem państw członkowskich i CERT z całego świata poświęcone ćwiczeniom krajowym; oraz wydała niedawno zalecenia polityczne dotyczące rozwoju strategii krajowych, w ramach których krajowe/rządowe CERT/CSIRT – przy udziale zainteresowanych stron z sektora prywatnego i publicznego – odgrywają kluczową rolę w pracach nad ćwiczeniami i testami dotyczącymi krajowych planów awaryjnych[42].

Kolejne kroki

- ENISA będzie w dalszym ciągu pomagać państwom członkowskim w opracowywaniu krajowych planów awaryjnych i w regularnej organizacji ćwiczeń w zakresie reagowania w przypadku zakrojonych na szeroką skalę ataków cybernetycznych zagrażających bezpieczeństwu sieci oraz w zakresie przywracania sprawności operacyjnej w przypadku awarii, co będzie stanowić krok w kierunku współpracy ogólnoeuropejskiej.

Ogólnoeuropejskie ćwiczenia na wypadek zakrojonych na szeroką skalę ataków zagrażających bezpieczeństwu sieci

Osiągnięcia

- Pierwsze ogólnoeuropejskie ćwiczenia na wypadek zakrojonych na szeroką skalę ataków cybernetycznych zagrażających bezpieczeństwu sieci (Cyber Europe 2010) odbyły się 4 listopada 2010 r. z udziałem wszystkich państw członkowskich, z których 19 uczestniczyło w ćwiczeniach, a także z udziałem Szwajcarii, Norwegii i Islandii. Ćwiczenia zostały zorganizowane i ocenione przez ENISA[43], przy czym w pracach zespołu planującego aktywnie uczestniczyło osiem państw członkowskich, a wsparcie technologiczne zapewniło Wspólne Centrum Badawcze (JRC).

Kolejne kroki

- W 2011 r. państwa członkowskie zostaną poproszone o przedyskutowanie celu i zakresu następnych ogólnoeuropejskich ćwiczeń w zakresie cyberbezpieczeństwa, planowanych na 2012 r. Rozważona zostanie możliwość wprowadzenia podejścia etapowego, obejmującego więcej bardziej złożonych ćwiczeń, w których udział wzięłaby mniejsza liczba państw członkowskich i być może uczestnicy międzynarodowi. ENISA będzie cały czas wspierać ten proces.

- Komisja wspiera finansowo projekt Euro Cybex, w ramach którego w drugiej połowie 2011 r. przeprowadzone zostanie ćwiczenie na indywidualnych komputerach.

- Ćwiczenia w dziedzinie cyberbezpieczeństwa stanowią ważny element spójnej strategii obejmującej plany awaryjne i odzyskanie sprawności operacyjnej na wypadek ataku cybernetycznego, zarówno na poziomie krajowym, jak i europejskim. Z tego względu przyszłe ogólnoeuropejskie ćwiczenia w dziedzinie cyberbezpieczeństwa powinny opierać się na europejskim planie awaryjnym na wypadek ataku cybernetycznego, którego podstawą są krajowe plany awaryjne i który jest z nimi połączony. W planie tym należy uwzględnić podstawowe mechanizmy i procedury dotyczące komunikacji między państwami członkowskimi, a także, co jest równie istotne, należy w nim przewidzieć zakres i organizację przyszłych ćwiczeń ogólnoeuropejskich. ENISA podejmie z państwami członkowskimi współpracę, której celem będzie opracowanie takiego europejskiego planu awaryjnego na wypadek ataku cybernetycznego do końca 2012 r. Równocześnie wszystkie państwa członkowskie przygotują swoje krajowe plany awaryjne oraz ćwiczenia w zakresie reagowania i odzyskiwania sprawności operacyjnej. Koordynacja niezbędna do osiągnięcia tych wyników będzie zapewniona przez EFMS.

Zwiększona współpraca między krajowymi/rządowymi zespołami CERT

Osiągnięcia

- Współpraca między krajowymi/rządowymi CERT stała się bardziej intensywna. Działania ENISA dotyczące podstawowych zdolności krajowych/rządowych CERT, ćwiczeń w ramach CERT i ćwiczeń krajowych oraz zarządzania w przypadku ataków cybernetycznych przyczyniły się do stymulowania i wspierania bliższej współpracy ogólnoeuropejskiej między krajowymi/rządowymi CERT.

Kolejne kroki

- ENISA będzie w dalszym ciągu wspierać współpracę między krajowymi/rządowymi CERT. W tym celu w 2011 r. przygotuje ona analizę wymogów oraz sporządzi wskazówki dotyczące odpowiedniego bezpiecznego kanału komunikacji w CERT, które obejmować będą harmonogram wdrożenia i plan przyszłego rozwoju. ENISA przeanalizuje również braki operacyjne na poziomie europejskim oraz przygotuje sprawozdanie na temat tego, jak zwiększyć współpracę transgraniczną między CERT a odpowiednimi zainteresowanymi podmiotami, zwłaszcza w zakresie koordynacji reakcji na wypadek ataku.

- W Europejskiej agendzie cyfrowej wezwano państwa członkowskie do ustanowienia sprawnie funkcjonującej sieci CERT na poziomie krajowym do końca 2012 r .

- Współpraca międzynarodowa

Odporność i stabilność Internetu

Osiągnięcia

- W oparciu w wyniki prac EFMS opracowano europejskie zasady i wytyczne dotyczące odporności i stabilności Internetu[44].

Kolejne kroki

- W 2011 r. Komisja: będzie wspierać i omawiać zasady zarówno w ramach współpracy dwustronnej z partnerami międzynarodowymi, zwłaszcza z USA, oraz w ramach rozmów wielostronnych na takich forach jak G8, OECD, Meridian oraz ITU; będzie prowadzić konsultacje z zainteresowanymi podmiotami, zwłaszcza z sektora prywatnego, na poziomie europejskim (w ramach EP3R) oraz na arenie międzynarodowej (w ramach Forum Zarządzania Internetem i na innych odpowiednich forach); będzie wspierać rozmowy z kluczowymi partnerami/organizacjami z branży internetowej.

- W 2012 r. podjęta zostanie współpraca z parterami międzynarodowymi, której celem będzie przekształcenie zasad i wytycznych we wspólne ramy dla wspólnych międzynarodowych działań na rzecz długofalowej odporności i stabilności Internetu.

Ćwiczenia w skali światowej obejmujące przywracanie sprawności operacyjnej i łagodzenie skutków zakrojonych na szeroką skalę ataków zagrażających bezpieczeństwu Internetu

Osiągnięcia

- Siedem państw członkowskich[45] wzięło udział – jako partnerzy międzynarodowi – w zorganizowanych przez USA ćwiczeniach dotyczących cyberbezpieczeństwa Cyber Storm III. Komisja i ENISA uczestniczyły w ćwiczeniach jako obserwatorzy.

Kolejne kroki

- W 2011 r. Komisja opracuje we współpracy z USA – w ramach grupy roboczej UE-USA ds. bezpieczeństwa cybernetycznego i cyberprzestępczości – wspólny program i harmonogram łączonych/zsynchronizowanych ćwiczeń międzykontynentalnych w dziedzinie cyberbezpieczeństwa w 2012/2013 r. Rozważona zostanie również możliwość nawiązania kontaktów z innymi regionami i państwami, które zajmują się podobnymi problemami, w celu wymiany doświadczeń w zakresie podejść i związanych z nimi działań.

- Kryteria rozpoznawania europejskich infrastruktur krytycznych w sektorze TIK

Sektorowe kryteria rozpoznawania europejskich infrastruktur krytycznych w sektorze TIK

Osiągnięcia

- W trakcie konsultacji technicznych dotyczących sektorowych kryteriów dla TIK prowadzonych w ramach EFMS powstał projekt kryteriów obejmujących łączność stacjonarną i ruchomą oraz Internet.

Kolejne kroki

- Prowadzone w ramach EFMS konsultacje techniczne dotyczące sektorowych kryteriów dla TIK będą kontynuowane, a ich zakończenie przewidywane jest na koniec 2011 r. Równocześnie niektóre państwa członkowskie planują zorganizowanie konsultacji z sektorem prywatnym – w ramach EP3R i na poziomie europejskim – dotyczących projektu kryteriów dla TIK.

- Komisja przedyskutuje również z państwami członkowskimi aspekty związane z TIK, które będą uwzględnione w ramach przeglądu dyrektywy 2008/114/WE w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej, planowanego na 2012 r.

-

[1] COM(2009) 149.

[2] Rezolucja Rady z dnia 18 grudnia 2009 r. w sprawie wspólnego europejskiego podejścia do bezpieczeństwa sieci i informacji (Dz.U. C 321 z 29.12.2009, s. 1).

[3] COM(2010) 245.

[4] Konkluzje Rady z dnia 31 maja 2010 r. w sprawie Europejskiej agendy cyfrowej (10130/10).

[5] COM(2010) 2020 oraz konkluzje Rady Europejskiej z dnia 25/26 marca 2010 (EUCO 7/10).

[6] COM(2010) 517 wersja ostateczna.

[7] COM(2010) 521.

[8] COM(2010) 171.

[9] COM(2010) 673.

[10] SEC(2009) 399.

[11] Wspólny komunikat w sprawie partnerstwa na rzecz demokracji i wspólnego dobrobytu z południowym regionem Morza Śródziemnego, COM(2011) 200 z 8.3.2011.

[12] Tzn. ciągłe i skoordynowane ataki na agencje rządowe i sektor publiczny. Problem ten dotyka również coraz częściej sektor prywatny (zob. sprawozdanie RSA z 2011 r. w temat rozwoju cyberprzestępczości).

[13] Zob. sprawozdania opublikowane w ramach projektu Information Warfare Monitor: „Tracking GhostNet: investigating a Cyber Espionage Network” (2009) oraz „Shadows in the Cloud: Investigating Cyber Espionage 2.0” (2010).

[14] Zob. pytania i odpowiedzi pod adresem: http://europa.eu/rapid/pressReleasesAction.do?reference=MEMO/11/34&format=HTML&aged=0&language=EN&guiLanguage=fr.

[15] Np. ostatnie ataki na rząd Francji.

[16] Zob. projekt OECD/IFP „Future Global Shocks”, „Reducing systemic cyber-security risks” z 14 stycznia 2011 r., dostępny pod adresem http://www.oecd.org/dataoecd/3/42/46894657.pdf.

[17] Zob. http://www.enisa.europa.eu/media/press-releases/stuxnet-analysis.

[18] Zob. Światowe Forum Ekonomiczne, Globalne zagrożenia 2011.

[19] W uwagach rządu brytyjskiego do piątego sprawozdania komitetu Izby Lordów ds. Unii Europejskiej na temat planu działania na rzecz ochrony krytycznej infrastruktury teleinformatycznej stwierdzono, że EFMS „jest udanym projektem, który spełnił rzeczywistą potrzebę zapewnienia politykom możliwości wymiany doświadczeń”.

[20] Zob. http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-for-national-governmental-certs.

[21] Zob. http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[22] http://www.enisa.europa.eu/act/cert/other-work/eisas_folder/eisas_roadmap.

[23] Źródło: ENISA.

[24] Zob. http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[25] Zob. http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[26] Zob. http://ec.europa.eu/information_society/policy/nis/index_en.htm.

[27] Proces Meridian ma na celu zapewnienie administracjom rządowym na całym świecie środków do prowadzenia rozmów dotyczących współpracy politycznej w dziedzinie ochrony krytycznej infrastruktury teleinformatycznej (CIIP). Zob. http://meridianprocess.org/.

[28] Dyrektywa Rady 2008/114/WE.

[29] Zob. np. sprawozdania ENISA „Cloud Computing Information Assurance Framework” (2009), dostępne pod adresem http://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReport) oraz „Security and resilience in governmental clouds” (2011), dostępne pod adresem http://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/).

[30] Zob. http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-for-national-governmental-certs.

[31] Zob. http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[32] Źródło: ENISA.

[33] Zob. http://ec.europa.eu/information_society/policy/nis/strategy/activities/ciip/impl_activities/index_en.htm.

[34] COM(2010) 521.

[35] Dyrektywa Rady 2008/114/WE.

[36] W uwagach rządu brytyjskiego do piątego sprawozdania komitetu Izby Lordów ds. Unii Europejskiej na temat planu działania na rzecz CIIP stwierdzono, że EFMS „jest udanym projektem, który spełnił rzeczywistą potrzebę zapewnienia politykom możliwości wymiany doświadczeń”.

[37] COM(2010) 251.

[38] Zob. http://www.enisa.europa.eu/act/cert/other-work/files/EISAS_finalreport.pdf.

[39] http://www.enisa.europa.eu/act/cert/other-work/eisas_folder/eisas_roadmap .

[40] Zob. http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[41] Zob. http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[42] Zob. http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[43] Zob. http://www.enisa.europa.eu/.

[44] Zob. http://ec.europa.eu/information_society/policy/nis/index_en.htm.

[45] FR, DE, HU, IT, NL, SE oraz UK.